Visa memanfaatkan model AI Mythos dari Anthropic untuk menguji ketahanan infrastruktur pembayaran yang menangani miliaran transaksi harian. Jaringan ini mencakup lebih dari 200 negara, mendukung 160 mata uang, dan menghubungkan hampir 5 miliar kredensial pembayaran dengan 175 juta lokasi pedagang. Pendekatan ini menghasilkan rantai eksploitasi yang sebelumnya hanya terdeteksi pada tahap pengujian penetrasi akhir.
Rajat Taneja, Presiden Teknologi Visa, menjelaskan bahwa model tersebut mampu melakukan analisis kontekstual menyeluruh terhadap tumpukan sistem. Temuan mencakup kelemahan kritis yang dapat dirangkai menjadi jalur serangan nyata. Meski demikian, kontrol zero-trust, segmentasi jaringan, dan pertahanan berlapis Visa berhasil memutus rantai tersebut sebelum dapat dimanfaatkan pihak eksternal.
Sebagai respons, Visa mengembangkan Visa Vulnerability Agentic Harness yang kini telah mencapai generasi kelima. Alat ini berfungsi sebagai pipeline terstruktur yang mengarahkan model AI melalui sebelas tahap, mulai dari pemodelan ancaman hingga validasi perbaikan. Tiga pilihan desain utama meliputi pemodelan ancaman sebelum analisis, pemungutan suara deterministik multi-agen, serta artefak triage terstruktur yang mempercepat siklus dari penemuan hingga implementasi.
Harness ini dirancang multi-model sehingga tim keamanan dapat mengganti atau mengombinasikan penyedia tanpa mengubah lapisan kontrol. Versi open source yang dirilis di GitHub memungkinkan adaptasi oleh organisasi lain. Visa juga menerbitkan white paper yang merinci arsitektur serta 12 praktik arsitektur wajib untuk infrastruktur kritis.
Salah satu inovasi penting adalah penggantian metrik tradisional dengan Mean Time to Adapt. Metrik baru ini mengukur kesegaran inventaris, jumlah jalur eksploitasi yang masih mungkin per rilis, serta waktu validasi perbaikan. Pendekatan ini memastikan tim fokus pada hasil nyata, yaitu penutupan jalur serangan, bukan sekadar penutupan temuan.
Dampaknya terhadap industri keuangan lain terlihat pada kebutuhan untuk mengevaluasi postur keamanan pemasok secara berkelanjutan. Visa kini memasukkan validasi kerentanan berbasis AI sebagai syarat due diligence terhadap vendor dan komponen open source. Langkah ini memperluas pertahanan melampaui perimeter internal.
Selain itu, integrasi harness semacam ini menuntut penyesuaian proses pengembangan perangkat lunak yang sudah ada. Organisasi perlu memastikan bahwa setiap jalur eksploitasi divalidasi sebelum kode dipromosikan ke produksi, sejalan dengan kebijakan SSDLC yang diterapkan Visa.
Ke depan, Visa mempersiapkan kerangka kerja kepercayaan untuk transaksi yang dilakukan agen AI. Laboratorium ancaman pembayaran digunakan untuk mensimulasikan skenario penipuan yang melibatkan agen otonom. Praktik “agen AI adalah identitas” menjadi salah satu dari 12 prinsip wajib yang menekankan izin terbatas dan jejak audit penuh.
Tiga prioritas utama yang diusung Visa mencakup pergeseran keamanan ke tahap desain awal, penggantian komponen berisiko tinggi, serta refactoring pertahanan agar berjalan otonom di bawah pengawasan manusia. Langkah-langkah ini menjadi acuan bagi tim keamanan yang ingin mengikuti laju ancaman berbasis AI.
