Visa VVAH: AI patcher produktionskode

VVAH, Visas Vulnerability and Adaptation Harness, er bygget til at opdage angreb og sårbarheder i realtid og reagere på dem, mens de sker. Med den nye version går harness'et fra at foreslå rettelser til at implementere dem selv. Når agenten identificerer en sårbarhed, den vurderer som tilstrækkeligt velforstået, skriver den patchen, tester den mod et internt regressionssæt og deployer den, uden at en sikkerhedsmedarbejder har set koden først. Mennesket kommer ind bagefter, som en revisor af en beslutning, der allerede er eksekveret, ikke som en godkender af en beslutning, der venter på at blive taget.

Det er den centrale pointe, som gør sagen relevant langt uden for Visas egne systemer. De fleste virksomheder, der bygger agenter med skriveadgang, har indtil nu antaget, at et menneske i kontrollen er den selvfølgelige bremse. Visa har regnet på det og konkluderet, at bremsen selv er en risiko under visse angrebsmønstre.

Begrundelsen fra Visas ledelse handler om tidsvinduet mellem opdagelse og udnyttelse. I moderne angrebskæder, særligt dem der er set demonstreret på DEF CON det seneste år, er tiden fra en sårbarhed bliver kendt, til den bliver udnyttet i stor skala, faldet dramatisk. Et angreb, der tidligere krævede timer at automatisere, kan i dag kædes sammen af en angribers egen AI-agent på minutter. Hvis Visas forsvar stadig venter på, at en menneskelig sikkerhedsanalytiker skal vågne, logge på og godkende en patch, taber forsvaret det kapløb systematisk.

Derfor har Visa vendt spørgsmålet om: risikoen ved at lade agenten handle selv skal ikke vurderes isoleret, men op imod risikoen ved at lade sårbarhedsvinduet stå åbent i den tid, det tager et menneske at reagere. I den beslutning ligger en accept af, at automatiseret hastighed i visse scenarier er en sikrere strategi end menneskelig grundighed, selv om det lyder som en selvmodsigelse i klassisk sikkerhedstænkning.

Sikkerhedseksperter, der har kommenteret sagen, peger ikke primært på, at AI-agenter er for dårlige til at skrive sikker kode. De peger på et strukturelt problem: en agent, der både vurderer, hvornår en rettelse er nødvendig, og selv udfører rettelsen, mangler en uafhængig kontrolinstans. Når vurderingen og handlingen sidder i samme system, forsvinder den funktion, som en menneskelig godkender traditionelt har haft, nemlig at være en autorisationsspærre, der ligger uden for selve modellens beslutningslogik.

Det er en anden kritik end den sædvanlige frygt for, at en AI-agent begår tekniske fejl. Risikoen er, at en agent, der er blevet manipuleret via en indirekte prompt injection eller en forgiftet inputkilde, kan bruge sin egen patchemekanisme til at indføre en sårbarhed, den selv har defineret som en rettelse. Uden et menneske eller et separat kontrolsystem, der validerer beslutningen ud fra andre kriterier end agentens egne, er der intet, der fanger den slags fejlkategori, før patchen allerede er i drift.

Den konkrete anledning til Visas kursskifte er en demonstreret angrebskæde, hvor en agentisk angriber kædede flere lavrisiko-sårbarheder sammen til en fuld kompromittering, hurtigere end noget menneskeligt sikkerhedsteam kunne reagere manuelt. Den slags kæder er ikke nye i sig selv, men hastigheden er. Når angriberens side af ligningen er automatiseret, bliver forsvarets manuelle godkendelsestrin det langsomste led i kæden, og det er præcis det led, Visa har valgt at fjerne.

Det ændrer ikke ved, at kritikken er berettiget. Det forklarer bare, hvorfor Visa vurderer, at prisen for at beholde den menneskelige spærre er blevet højere end prisen for at fjerne den, i det specifikke scenarie hvor angrebshastigheden er den afgørende faktor.

Visa har samtidig introduceret et nyt målepunkt for, hvor godt forsvaret fungerer: Mean Time to Adapt, tiden fra en sårbarhed opdages, til en fungerende rettelse er i drift. Det er en tydelig forskydning væk fra de klassiske mål som Mean Time to Detect og Mean Time to Respond, som begge implicit forudsætter, at et menneske er en del af responskæden.

Når en virksomhed begynder at måle sig selv på, hvor hurtigt den kan tilpasse sig uden menneskelig indblanding, er det et signal om, hvilken retning sikkerhedsarkitekturen bevæger sig i. Det er ikke længere kun et spørgsmål om, om man tør give en agent skriveadgang. Det er et spørgsmål om, hvordan man designer det system, der holder øje med agenten, mens den handler.

De færreste danske virksomheder står med Visas skala eller trusselsbillede, og de færreste bør kopiere beslutningen om at fjerne den menneskelige godkendelse direkte. Men strukturen bag beslutningen er relevant for enhver virksomhed, der lader en agent skrive til et produktionssystem, uanset om det er kode, kundedata eller finansielle transaktioner.

Det centrale spørgsmål er ikke, om et menneske skal godkende hver handling. Det er, om der findes en kontrolinstans uden for agentens egen beslutningslogik, der kan stoppe eller rulle en handling tilbage, hvis agenten er blevet manipuleret eller simpelthen tager fejl. Den instans kan være et menneske, men den kan også være et uafhængigt valideringslag, en hastighedsbegrænsning eller en automatiseret revision, der kører parallelt med agenten i stedet for efter den.

For virksomheder, der overvejer at give agenter mere autonomi, er Visas sag en påmindelse om, at spørgsmålet ikke er hastighed mod sikkerhed. Det er, hvor kontrollen sidder, og om den er uafhængig af den agent, den skal kontrollere. Det spørgsmål bliver ikke mindre presserende af, at flere og flere agenter får adgang til at handle, før nogen har set, hvad de gør.