支付巨头Visa开源了一套AI驱动的网络防御系统，于2026年6月以Apache 2.0许可证发布其Visa Vulnerability Agentic Harness（VVAH），这是一种允许商业使用、修改和再分发的宽松开源许可证。这一决定源于Visa与Anthropic的Project Glasswing项目的合作——该计划仅在测试首月就在行业系统中发现了超过10,000个高危和严重级别漏洞（即标准漏洞评级中最为严重的两个等级）。

VVAH旨在通过AI驱动的流水线来发现、排序、修复和验证安全漏洞——其名称中的"agentic"指的是能够以一定程度的自主性执行多步骤工作的AI系统。

从压力测试到开源发布

该项目可追溯至2026年4月，当时Visa加入了Anthropic的Project Glasswing。该计划将Anthropic的Claude Mythos AI模型部署到Visa遍布全球的庞大支付基础设施上——这一网络覆盖200多个国家、约160种货币以及近50亿条支付凭证。此次行动实际上是对Visa网络防御能力的一次大规模压力测试。

Visa没有选择悄然修补漏洞了事，而是构建了VVAH作为一个结构化的响应框架。该系统运行一个覆盖发现、分流、修复和验证的四阶段流水线。它采用零信任架构——这是一种每个组件都假定自身已被攻破并据此进行验证的安全模型——并在每个阶段纳入确定性控制与人工监督。在该许可证的宽松条款下，其他组织现在可以将这一在全球最大支付网络之一的规模上构建并验证过的流水线，适配到自己的环境中。

VVAH于2026年6月10日前后开源。采用速度很快：到7月中旬，该项目的GitHub仓库已积累约595颗星，到8月下旬这一数字已突破2,300颗——星数是衡量开源项目社区关注度的常用指标。自发布以来，Visa已记录到全球范围内数以万计的下载量。

8月更新增加自动修复功能

2026年8月27日，Visa对该框架推送了一次重大更新。新版本增加了自动化修复与验证功能，这意味着VVAH现在不仅能发现并归类漏洞，还能提出并实施修复方案，然后验证这些修复是否真正有效。这一变化使该框架从仅仅识别和排序漏洞的系统，转变为能够将修复执行到验证完成的系统，自动化修复能力也显著缩短了漏洞修复的响应时间。

免费工具，付费专业服务

Visa还围绕该框架扩展了其咨询服务，建立了网络安全咨询业务，帮助企业实施VVAH并将其与现有安全基础设施集成——这是企业开源领域常见的商业模式：代码免费提供，周边服务则收费。开源工具是免费的；但大规模正确部署它的专业能力并非如此。