Visa telah meluncurkan Claude Mythos dari Anthropic yang fokus pada infrastruktur yang mendukung miliaran transaksi setiap harinya. Jaringan ini mencakup lebih dari 200 negara dan wilayah, mengolah uang dalam sekitar 160 mata uang, serta menghubungkan hampir 5 miliar data pembayaran ke lebih dari 175 juta lokasi merchant.
Claude Mythos berhasil mengidentifikasi celah-celah minor yang berada dalam sistem dan mengubahnya menjadi rantai eksploitasi yang biasanya hanya muncul di tahap akhir pengujian penetrasi. Rajat Taneja, presiden teknologi Visa, menjelaskan kepada audiens VB Transform 2026 tentang langkah berikutnya, termasuk alasan Visa merilis alat yang mengatur seluruh pencarian ini sebagai open source dan mengapa mereka meninggalkan metrik remediasi tradisional untuk mengadopsi pengukuran yang dibuat oleh timnya sendiri.
Taneja telah memimpin strategi teknologi, rekayasa produk, dan infrastruktur global di Visa sejak 2019, setelah bergabung dengan perusahaan ini pada 2013 dari Electronic Arts, di mana ia menjabat sebagai CTO setelah 15 tahun di Microsoft. Ia menulis bersama Subra Kumaraswamy, kepala informasi keamanan Visa, sebuah postingan blog pada 10 Juni yang mengumumkan perilisan Visa Vulnerability Agentic Harness di GitHub sebagai implementasi referensi yang dapat diperiksa, disesuaikan, dan diperluas oleh tim keamanan mana pun. Visa juga menerbitkan sebuah makalah teknis yang merinci arsitektur, pengalaman yang didapat, dan 12 praktik arsitektur yang tidak bisa ditawar untuk infrastruktur kritis.
Kepercayaan Berdasarkan Pessimisme dan Paranoia
Taneja mengawali dengan perhitungan yang menunjukkan mengapa Visa menjadi target yang layak untuk dilindungi. Kepercayaan dalam skala pembayaran global dibangun melalui yang ia sebut dengan pessimisme dan paranoia, dengan asumsi kegagalan dan merancang sistem di sekitarnya sebelum kegagalan terjadi. Jaringan ini telah diperkuat selama bertahun-tahun melalui arsitektur zero-trust, pertahanan berlapis, dan operasi keamanan yang sangat otomatis yang dirancang untuk skala dan keandalan yang dituntut oleh pembayaran global.
Ketika Anthropic mengundang organisasi di balik perangkat lunak kritis untuk menguji Mythos dalam Project Glasswing, Visa menyambut baik. Peserta Glasswing secara kolektif mengidentifikasi lebih dari 10.000 kerentanan dengan tingkat tinggi atau kritis dalam sebulan pertama pengujian di antara perangkat lunak yang mendasari sistem kritis di seluruh industri, menurut Anthropic. Kesimpulan dari Anthropic menunjukkan bahwa hambatan terjadi setelah penemuan, di dalam proses verifikasi, pengungkapan, dan kecepatan perbaikan. Visa bergabung untuk menguji puluhan tahun penguatan pada kecepatan AI dan belajar di mana model canggih dapat lebih memperkuat sistem pertahannya.
Apa yang Ditunjukkan Mythos di Visa
Di dalam lingkungan Visa, Mythos menunjukkan analisis menyeluruh dan sadar konteks, mengungkapkan kerentanan yang terbenam dalam sistem dan menandai isu-isu yang menjadi lebih serius ketika saling terhubung, dengan temuan yang cukup jelas sehingga tim rekayasa dapat langsung bertindak tanpa harus mencermati banyak kebisingan. Beberapa temuan memiliki peringkat keparahan kritis, dan Visa mengakui bahwa pengendalian zero-trust, segmentasi jaringan, dan pengamanan berlapis berperan penting dalam memutus rantai sebelum aktor eksternal dapat mengambil tindakan.
Kepastian itu dianggap penting oleh Taneja, namun pencerahan yang muncul setelahnya jauh lebih signifikan. “Dalam dunia serangan agentik, pertahanan juga harus bersifat agentik,” katanya. Bahkan di perusahaan yang telah berinvestasi selama puluhan tahun dalam pertahanan mendalam, model ini mengungkapkan asumsi yang dimiliki tim yang perlu dipikirkan ulang. Alat SAST tradisional masih berfungsi sebagai langkah awal untuk pola kerentanan yang sudah dikenal, namun mencocokkan pola saja tidak cukup untuk mengikuti lawan yang menggunakan logika, aliran data, dan rantai eksploitasi yang ada di antara tanda tangan.
Sebuah Harness, Bukan Pemindai
Tanggapan Visa bukanlah pemindai monolitik lain. Tim membangun Visa Vulnerability Agentic Harness, kini sudah generasi kelima, sebagai alur kerja yang teratur yang mengarahkan model-model AI canggih melalui tugas keamanan terstruktur sambil menegakkan kontrol deterministik, batas kebijakan, serta pengawasan manusia di setiap tahap. Taneja menjelaskan filosofi desain ini. Harness ini beroperasi di empat fase dan sebelas tahap, mulai dari pengambilan kode dan pemodelan ancaman hingga verifikasi mendalam, sintesis rantai eksploitasi, hingga akhirnya remediasi dan validasi perbaikan.
Tiga pilihan desain mendasari kualitas temuan, menurut dokumentasi proyek itu sendiri. Pemodelan ancaman dijalankan sebelum analisis untuk fokus pada permukaan serangan dan bukan melakukan pemindaian semuanya secara membabi buta, pemungutan suara deterministik multi-agent memerlukan konsensus di antara rantai alasan independen sebelum temuan dapat dilanjutkan, dan artefak triase terstruktur mempercepat siklus dari penemuan hingga hasil yang bisa dikirimkan oleh pengembang. Hasilnya adalah alur kerja yang beroperasi secara aktif. Pemindaian sederhana dalam profil yang dikirim menjalankan semua sebelas tahap dan mengedit file sumber di repositori target dalam mode perbaikan, menerapkan perbaikan kandidat kecuali operator menghentikannya saat mendeteksi.
Harness ini dirancang multi-model. Sebuah lapisan abstraksi LLM memungkinkan Visa untuk mengganti atau menggabungkan penyedia tanpa mengubah kontrol utama, dan versi open-source bekerja dengan Anthropic Claude, model kompatibel OpenAI, atau kombinasi keduanya. Dokumentasi repositori menjelaskan dengan jelas tentang pengecualian ini. Penerapan perbaikan memerlukan alat pengeditan file yang hanya tersedia di backend Anthropic, sehingga tahap remediasi dan validasi saat ini memerlukan model dari Anthropic untuk fungsi penuh, sedangkan model yang kompatibel dengan OpenAI dalam peran tersebut dibatasi pada output laporan saja. Penelitian Q2 2026 Pulse oleh VentureBeat menguatkan mengapa fleksibilitas penyedia ini penting. Di antara perusahaan yang disurvei, 82% mengandalkan kontrol asal penyedia sebagai lapisan keamanan utama mereka, dan 59% berencana untuk mengadopsi atau mengalihkan alat keamanan agen dalam tahun ini.
Waktu Rata-rata untuk Beradaptasi Menggantikan Metrik Warisan
Menemukan kerentanan bukan lagi bagian yang sulit, ujar Taneja. Tantangan sebenarnya adalah seberapa cepat sebuah tim dapat mengonfirmasi suatu masalah benar-benar dapat dieksploitasi, memperbaikinya, dan membuktikan bahwa jalur serangan ditutup, bukan hanya menunjukkan bahwa perbaikan telah diterapkan. Visa menyebut ini sebagai Mean Time to Adapt (MTTA), dan makalah putih melacaknya melalui tiga dimensi. Kesegaran inventaris mengukur seberapa aktuallah dan lengkap pandangan organisasi terhadap kode, konfigurasi, dan penyebaran runtime. Jalur yang dapat dieksploitasi per rilis menghitung berapa banyak rantai serangan end-to-end yang masih memungkinkan setelah setiap rilis, tidak hanya berapa banyak temuan yang ditutup. Waktu siklus validasi melacak seberapa lama waktu yang dibutuhkan untuk menghasilkan bukti yang dapat diulang dan didukung oleh bukti bahwa perbaikan bekerja dan tetap berfungsi dalam produksi.
Perbedaan ini penting karena ukuran warisan seperti waktu rata-rata untuk mendeteksi dan jumlah penutupan CVE dapat terlihat lebih baik di atas kertas sementara eksposur sebenarnya terus meningkat di bawahnya. Sebuah organisasi dapat menutup ratusan temuan dalam sebulan namun tetap membiarkan rantai eksploitasi yang layak terbuka jika tidak ada yang menguji apakah perbaikan tersebut benar-benar memutuskan serangan. MTTA memaksa tim untuk mengukur hasil yang benar-benar penting, dan makalah putih mengandalkan data CVE Dari CISA yang diketahui tereskploitasi untuk membuat kasus prioritas, mencatat bahwa kurang dari 1% CVE yang pernah dieksploitasi secara aktif. Kebijakan SSDLC Visa kini mengasumsikan bahwa setiap jalur yang dapat dieksploitasi akan dilalui dalam produksi dan memerlukan perbaikan sebelum kode dipromosikan.
Risiko Rantai Pasokan Mempercepat di Bawah AI
Diskusi beralih melampaui perimeter Visa ketika Taneja membahas pemasok. Sebuah perusahaan yang memiliki pertahanan baik tetap berisiko melalui vendor lemah dan komponen open-source yang rentan, peringat makalah putih tersebut, sehingga Visa menjadikan posisi keamanan khusus AI sebagai dimensi yang tidak bisa ditawarkan dalam ketelitian pemasok, dengan harapan untuk validasi kerentanan yang berkelanjutan, daftar bahan perangkat lunak hidup, dan baseline MTTA di seluruh tumpukan teknologi mereka.
Visa juga bergabung dengan Project Lightwell, inisiatif senilai $5 miliar dari IBM dan Red Hat untuk menguatkan komponen open-source yang banyak digunakan melalui validasi yang didorong AI dan perbaikan terkoordinasi, bersama dengan lembaga keuangan termasuk Bank of America, JPMorganChase, Goldman Sachs, dan Mastercard. Komitmen ini memperluas logika yang sama ke atas, karena jam MTTA tidak berhenti di perimeter perusahaan tunggal manapun.
Ketika Agen Mulai Membeli
Mengamankan perdagangan agentik adalah tantangan selanjutnya bagi Visa. Taneja menggambarkan masa depan di mana agen AI melakukan transaksi atas nama konsumen dan perusahaan, dan menyatakan bahwa Visa sedang membangun kerangka kepercayaan, lapisan identitas, serta skoring kesiapan agen yang dibutuhkan merchant sebelum agen dapat menyelesaikan transaksi dengan aman. Di balik pekerjaan tersebut terdapat Visa Payment Threats Lab, sebuah lingkungan simulasi di mana skenario penipuan nyata diputar ulang terhadap aturan otorisasi, ambang batas, dan konfigurasi yang dijalankan Visa, untuk mengungkap mode kegagalan yang diaktifkan AI sebagai rekomendasi penguatan yang ditargetkan.
Tantangan identitas ini bukanlah teori semata. Penelitian Pulse oleh VentureBeat menemukan bahwa 69% perusahaan sudah menjalankan berbagi kredensial di beberapa tempat dalam penerapan agennya, dan perusahaan dengan kredensial yang dibagi melaporkan insiden keamanan atau hampir terjadi pada tingkat 63.5%, dibandingkan dengan 40.9% di mana setiap agen memiliki identitas yang terpisah. Makalah putih Visa secara langsung mengatasi celah ini, mencantumkan “agen AI adalah identitas” di antara 12 praktik yang tidak bisa ditawar dan mengharuskan izin terpisah, penerapan hak paling sedikit, jejak audit penuh, serta keikutsertaan dalam tata kelola IAM untuk setiap agen yang memanggil API, membaca data, atau memodifikasi sistem.
Tiga Prioritas untuk Pembela
Visa sedang mengorganisir strategi defensifnya di sekitar tiga prioritas, kata Taneja. Pertama, menggeser keamanan lebih awal sampai celah yang dapat dieksploitasi sudah dirancang keluar sebelum mencapai produksi, dan mengganti komponen berisiko tinggi yang kurang didukung sebelum berubah menjadi eksposur material. Ketiga adalah tantangan terbesar dengan skala Visa, merombak pertahanan agar dapat beroperasi secara mandiri di bawah pengawasan manusia sehingga deteksi, validasi, dan respons dapat mengikuti laju peningkatan volume ancaman dan model di balik serangan menjadi lebih canggih.
Semua ini tidak memerlukan anggaran jaringan pembayaran untuk memulai. Harness tersedia di GitHub dengan 595 bintang dan 97 fork per 20 Juli, MTTA memerlukan dashboard ketimbang siklus pengadaan, dan 12 praktik yang disebutkan dalam makalah putih cocok dengan tinjauan arsitektur yang sudah dijalankan oleh tim keamanan. Kesimpulan Visa berbunyi seperti batas waktu. Ruang untuk mengungguli penyerang dengan kecepatan mesin masih ada, makalah tersebut berargumen, dan itu tidak akan tetap terbuka selamanya.
