Cosa succede quando si punta un’intelligenza artificiale avanzata contro l’infrastruttura che gestisce miliardi di transazioni al giorno? Visa ha deciso di scoprirlo, sottoponendo la propria rete di pagamenti a un test senza precedenti con Mythos, il modello sviluppato da Anthropic. Il risultato non è stato solo la scoperta di vulnerabilità nascoste, ma un cambio di paradigma nel modo di concepire la sicurezza informatica. E, cosa ancora più sorprendente, l’azienda ha scelto di rendere pubblico lo strumento che ha reso possibile questa caccia, offrendolo gratuitamente a chiunque voglia proteggersi.
La rete di Visa collega quasi cinque miliardi di credenziali di pagamento a oltre 175 milioni di esercizi commerciali, muovendo denaro in circa 160 valute attraverso più di 200 paesi. Un bersaglio che vale la pena difendere con ossessione, come ha spiegato Rajat Taneja, presidente della tecnologia dell’azienda, durante il VB Transform 2026. All’interno dell’ambiente Visa, Mythos ha dimostrato una capacità inedita, ovvero individuare debolezze sepolte in profondità nel sistema e collegarle tra loro in catene di attacco funzionanti, quelle che normalmente emergono solo nelle fasi finali di un test di penetrazione. Alcune di queste vulnerabilità erano di gravità critica, ma le difese a più livelli di Visa hanno spezzato la catena prima che qualcuno potesse sfruttarla.
La vera intuizione, però, è arrivata dopo. In un mondo di attacchi condotti da agenti intelligenti, anche la difesa deve diventare agentica. Nasce così il Visa Vulnerability Agentic Harness, non un semplice scanner ma una pipeline governata che guida i modelli di frontiera attraverso quattro fasi e undici stadi, dall’analisi del codice fino alla validazione delle correzioni, mantenendo sempre il controllo umano. Lo strumento, ora alla quinta generazione, è disponibile su GitHub e funziona con modelli diversi, un dettaglio non secondario visto che la maggior parte delle aziende prevede di cambiare i propri strumenti di sicurezza entro l’anno.
Rilevante è l’abbandono delle metriche tradizionali in favore di un nuovo indicatore, il Mean Time to Adapt, che misura non quante falle vengono chiuse ma quanto rapidamente si dimostra che un attacco è realmente neutralizzato. Un cambiamento concettuale importante, perché svela l’illusione dei numeri che sembrano rassicuranti mentre l’esposizione reale continua a crescere.
Lo scenario che si delinea è chiaro. La sicurezza informatica sta entrando in una fase in cui gli attaccanti operano a velocità di macchina e i difensori non possono più permettersi ritmi umani. La scelta di Visa di condividere questi strumenti suggerisce una consapevolezza non banale, perché in un ecosistema interconnesso, dove la vulnerabilità di un fornitore diventa quella di tutti, la sicurezza non può più essere un vantaggio competitivo custodito gelosamente. La finestra per anticipare gli aggressori automatizzati, avverte l’azienda, resta aperta ancora per poco.
Per approfondire: link all’articolo originale
