Visa VVAH: Açığı bulup düzeltmeyi AI’ye taşıdı

Visa, açık kaynaklı güvenlik aracı Visa Vulnerability Agentic Harness (VVAH)’ı keşiften öteye taşıdı. Şirketin kurumsal duyurusuna göre yeni sürüm, güvenlik açıklarını bulmanın yanında düzeltme (remediation) ve doğrulama (validation) adımlarını da aynı döngüye ekliyor. Amaç, keşif ile kapanış arasındaki süreyi (MTTA) kısaltmak; Visa bazı senaryolarda haftalardan saatlere inilebildiğini öne sürüyor.

VVAH neydi, ne oldu?

VVAH, Visa’nın Anthropic’in Project Glasswing girişimine katılmasının ardından Haziran 2026’da açık kaynak olarak yayımlandı. İlk odaklısı potansiyel açıkları tespit etmek, kötüye kullanılabilirliği değerlendirmek ve yapılandırılmış bulgular üretmekti. Technopat’ın aktardığı ve Visa newsroom’un doğruladığı yeni evrimde iş akışı keşif → düzeltme → doğrulama zincirine genişliyor.

GitHub üzerindeki proje notlarına göre varsayılan tarama profili, tespit aşamasından sonra düzeltme ve doğrulamayı da çalıştırabiliyor. Bu, ekiplerin “bulduk, sonra ayrı bir araçla yama” sürecini tek harness içinde birleştirmeyi hedefliyor.

Kapalı döngü düzeltme ve doğrulama

Yeni sürümün öne çıkan özellikleri şunlar:

• Kapalı döngü düzeltme: Doğrulamayı geçemeyen bir yama için sistem, sürecin hangi noktada takıldığını geri besleyerek baştan tarama zorunluluğunu azaltıyor.
• Model esnekliği: Kurumlar kod değiştirmeden yapılandırma üzerinden Anthropic ve OpenAI modelleri dahil desteklenen farklı LLM’ler arasında geçiş yapabiliyor.
• Görünürlük: Uzun taramalarda isteğe bağlı gerçek zamanlı ilerleme görünümleri ekleniyor.

Visa, platformun belirli bir modele kilitlenmeyen (model-agnostic) mimariyle geliştirildiğini vurguluyor. Böylece güvenlik ekipleri tek sağlayıcıya bağlı kalmadan AI altyapılarını iş akışına bağlayabiliyor.

İndirme sayısı ve danışmanlık katmanı

Haziran’daki açık kaynak çıkışından bu yana VVAH’ın dünya genelinde on binlerce geliştirici tarafından indirildiği belirtiliyor. Visa, bunların ne kadarının üretim ortamında aktif kullanıldığına dair ayrıntılı rakam paylaşmadı. Paralel olarak Danışmanlık ve Analitik birimi altında yöneticilere AI/siber eğitimleri, VVAH verisine dayalı olgunluk değerlendirmeleri ve risk önceliklendirme yol haritaları gibi hizmetler genişletiliyor.

Visa Türkiye Genel Müdürü Samile Mümin, yapay zekânın hem saldırıları hem de risk tespitini hızlandırdığını; kurumların yalnızca riski görmesinin yetmediğini, açıkları daha hızlı kapatacak somut adımlar atmasının gerektiğini söyledi.

Dikkat edilmesi gereken nokta

Bağımsız güvenlik yorumlarında da altı çizildiği gibi varsayılan yapılandırmada tarama, tespit sonrası düzeltme aşamasına geçip kaynak dosyaları düzenleyebilir. Visa, aracın canlı üretim sistemlerine dokunmadığını ve birleştirme/imzalama/dağıtımın insan eylemi gerektirdiğini belirtiyor. Yine de ekiplerin detection-only istiyorsa taramayı erken kesme bayraklarını (ör. keşifle durma) ve politika/kill-switch kontrollerini bilinçli kullanması gerekiyor. AI hızında yama üretmek, gözden geçirme disiplinini ortadan kaldırmıyor.

Sektör bağlamı

Visa ayrıca NVIDIA’nın Open Secure AI Alliance girişiminde VVAH’ı model bağımsız çerçeve olarak konumlandırdığını; IBM ve Red Hat’in Project Lightwell kapsamında açık kaynak yazılım güvenliği çalışmalarında yer aldığını aktarıyor. Üretken AI hem saldırgan hem savunmacı tarafta otomasyonu büyütürken, Visa’nın hamlesi “bul–düzelt–doğrula”yı tek ajanik döngüde birleştirme yarışına oturuyor.

Kimler için anlamlı?

Güvenlik mühendisliği ve AppSec ekipleri için VVAH, bulgu yığınını yapılandırılmış bir pipeline’a sokma vaadi sunuyor. Özellikle büyük monorepolarda “açığı bulduk, yama kuyruğu haftalar sürdü” şikâyeti yaygındır. Kapalı döngü düzeltme ve model seçme özgürlüğü burada çekici. Küçük ekiplerde ise araç, yanlış yapılandırılırsa gereksiz diff gürültüsü üretebilir; detection-only profil ve kod inceleme kapısı hâlâ kritik.

Sonuç

VVAH güncellemesi, açık kaynak güvenlik araçlarını yalnızca tarayıcı olmaktan çıkarıp düzeltme ve doğrulama katmanına taşıyor. Kurumlar için vaat daha kısa kapanış süresi ve model seçme özgürlüğü; karşılığında varsayılan otomasyon davranışını ve insan onay kapılarını net tanımlamak şart. AI siberde hem risk hem kalkan; VVAH ikincisini operasyonel hale getirmeyi deniyor.