Що сталося
Visa прогнала фронтир-модель Anthropic Claude Mythos по інфраструктурі власної платіжної мережі в пошуках вразливостей, а 28 липня відкрила код інструмента, яким це робила. Обв’язка називається Visa Vulnerability Agentic Harness (VVAH), лежить на GitHub під ліцензією Apache 2.0 і до 29 липня зібрала близько 1,9 тис. зірок і 230 форків.
Деталі
Обв’язка (harness) — це не модель, а конвеєр навколо неї: що подати на вхід, у якому порядку, як перевірити відповідь і що зробити з результатом. VVAH поділений на чотири фази й одинадцять стадій:Фаза Стадії Що робить Discovery & Modeling 1–3 Будує карту поверхні атаки і моделює загрози в бізнес-контексті Deep Dive & Verification 4–6 Розбирає код кількома «лінзами» і змагально перевіряє знахідки Synthesis & Reporting 7–9 Прибирає дублі й видає структурований звіт Remediation & Validation 10–11 Пропонує патчі й перевіряє, що вони справді лагодять
Цільова метрика у Visa — MTTA (mean time to adapt), тобто час від «модель знайшла придатну до експлуатації діру» до «перевірене виправлення у проді». Ключовий крок тут — змагальна перевірка: сирий прогін моделі великим репозиторієм дає багато правдоподібного сміття, і без окремої стадії спростування звіт стає марним.
Формально VVAH мультимодельний: із коробки йдуть три адаптери — SDK Anthropic, термінальний агент Claude Code та OpenAI-сумісний інтерфейс. Але повний цикл з автоматичною правкою коду потребує моделей Anthropic — у них є потрібні можливості редагування файлів. Для запуску потрібен Python 3.10 або новіший і доступ до моделі.
Масштаб знахідок Visa не розкриває поштучно, але наводить контекст програми Project Glasswing, у межах якої тривала перевірка: за перший місяць тестування учасники знайшли понад 10 тис. вразливостей високої та критичної серйозності в широко вживаному ПЗ. Окремо щодо опенсорс-проєктів попередня версія Claude Mythos позначила 23 019 потенційних проблем, з яких 6 202 оцінені як високі або критичні.
Що це означає
Кого стосується: розробника і безпечника, у яких є власний репозиторій і передплата на Claude, — інструмент можна забрати й запустити сьогодні, ліцензія Apache 2.0 це прямо дозволяє. Практичний виграш вимірюється не «знайде баги», а тим, скільки шуму відсіється: 11 стадій проти одного промпту — це і є різниця між списком гіпотез і звітом, з яким можна працювати.
Ризик теж конкретний: автоматична правка зав’язана на моделях Anthropic, тобто безплатна ліцензія не скасовує прив’язку до одного вендора на найціннішій ділянці конвеєра. Плюс витрати на токени — прогін великим репозиторієм через 11 стадій коштує відчутно дорожче за разове питання до моделі.
І загальніший висновок, який тут видно краще, ніж у вендорських анонсах: результат дала не «розумна модель», а конвеєр навколо неї. Ми розбирали це на прикладі різниці між моделлю та обв’язкою — той самий Claude у чаті та в агентній оболонці видає принципово різний результат. Visa фактично підтвердила цю тезу на інфраструктурі, яка обслуговує платежі більш ніж у 200 країнах.
Горизонт: код доступний зараз; практичний ефект для чужих кодових баз стане видно в міру того, як обв’язку почнуть ганяти поза Visa.
