Visa открыла VVAH — агентный харнесс для поиска уязвимостей
Visa выложила на GitHub свой инструмент VVAH (Visa Vulnerability Agentic Harness) — открытый харнесс для автономного поиска, устранения и проверки уязвимостей с помощью AI-моделей. Построен на наработках Project Glasswing от Anthropic.
Это пайплайн из 4 фаз и 11 стадий — от загрузки кода до проверенного исправления:
- Фаза 1 — разведка и моделирование угроз, карта поверхности атаки;
- Фаза 2 — глубокий анализ и адверсариальная верификация эксплуатируемости;
- Фаза 3 — синтез и отчёты (Markdown + SARIF 2.1.0);
- Фаза 4 — предложение фиксов и их проверка перед принятием.
Качество находок держат три решения: моделирование угроз до анализа, детерминированное голосование нескольких агентов против ложных срабатываний и структурированные артефакты триажа. Ключевая метрика — Mean Time to Adapt: время от обнаружения до проверенного фикса в продакшене.
Мульти-модельный по дизайну: Claude, OpenAI-совместимые или их комбинация через vendor-neutral слой. Важно: сканируйте только тот код, на который у вас есть права, а находки требуют ревью человеком.
Репозиторий
😐 — тревожно
🤔 — надо проверить
@ai_for_dev
Visa выложила на GitHub свой инструмент VVAH (Visa Vulnerability Agentic Harness) — открытый харнесс для автономного поиска, устранения и проверки уязвимостей с помощью AI-моделей. Построен на наработках Project Glasswing от Anthropic.
Это пайплайн из 4 фаз и 11 стадий — от загрузки кода до проверенного исправления:
- Фаза 1 — разведка и моделирование угроз, карта поверхности атаки;
- Фаза 2 — глубокий анализ и адверсариальная верификация эксплуатируемости;
- Фаза 3 — синтез и отчёты (Markdown + SARIF 2.1.0);
- Фаза 4 — предложение фиксов и их проверка перед принятием.
Качество находок держат три решения: моделирование угроз до анализа, детерминированное голосование нескольких агентов против ложных срабатываний и структурированные артефакты триажа. Ключевая метрика — Mean Time to Adapt: время от обнаружения до проверенного фикса в продакшене.
Мульти-модельный по дизайну: Claude, OpenAI-совместимые или их комбинация через vendor-neutral слой. Важно: сканируйте только тот код, на который у вас есть права, а находки требуют ревью человеком.
Репозиторий
😐 — тревожно
🤔 — надо проверить
@ai_for_dev