Visa เปิดตัวระบบ AI ป้องกันช่องโหว่ในซอร์สโค้ดแบบอัตโนมัติ

Visa เปิดตัว **Visa Vulnerability Agentic Harness (VVAH) รุ่นใหม่ที่สามารถสแกนหาช่องโหว่ในซอร์สโค้ด, เขียนแพตช์และทำการอัปเดตโดยอัตโนมัติ ก่อนที่นักพัฒนาจะได้ตรวจสอบผลลัพธ์ การเปิดตัวนี้เป็นส่วนหนึ่งของการขยายบริการให้คำปรึกษาด้านความปลอดภัยของ Visa Consulting & Analytics และสะท้อนแนวโน้มที่ AI จะเข้ามาแทนที่ขั้นตอนสำคัญในกระบวนการแก้ไขช่องโหว่แบบดั้งเดิม

Overview

VVAH ทำงานเป็นไอเท็มเปิด‑source บน GitHub ที่ผู้ใช้สามารถเรียกใช้งานได้ทันทีโดยไม่มีค่าใช้จ่าย ระบบจะทำการสแกน ทั้งหมด 11 ขั้นตอน ตั้งแต่การตรวจจับจนถึงการแก้ไขโค้ดในรีโพสิทอรีเป้าหมาย หากผู้ดำเนินการไม่ได้ตั้งค่าจำกัดไว้ที่ขั้นตอน “detect” เพียงอย่างเดียว การแก้ไขจะถูกบันทึกลงไฟล์โดยตรง ตามที่ Visa ระบุว่าเป็น “default pipeline.” บริษัทยืนยันว่าการทำงานแบบอัตโนมัตินี้ช่วยลดระยะเวลาในการปิดช่องโหว่จากระดับสัปดาห์เป็นชั่วโมง

Technical Details

การทำงานของ VVAH ถูกออกแบบให้วิเคราะห์ abstract syntax tree (AST) call graph ของโค้ด ซึ่งจะสร้างแผนที่ของฟังก์ชันและเส้นทางการเรียกใช้ที่อาจถูกโจมตีได้ ระบบยังปรับลดจำนวน token ที่ต้องประมวลผลเพื่อเพิ่มความเร็วและความแม่นยำในการให้เหตุผลเกี่ยวกับการโจมตี ตัวเครื่องมือทำงานตามลำดับขั้นตอนต่อไปนี้

• Discover – ค้นหาช่องโหว่โดยอัตโนมัติในโค้ดทั้งหมด
• Verify – ตรวจสอบว่าข้อบกพร่องที่พบเป็นจริงหรือไม่
• Remediate – สร้างและประยุกต์แพตช์แก้ไขช่องโหว่
• Validate – ยืนยันว่าแพตช์ทำงานได้โดยไม่มีผลข้างเคียง
• Iterate – บันทึกข้อมูลการแก้ไขเพื่อใช้เป็นฐานความรู้ในครั้งถัดไป

ขั้นตอนเหล่านี้ทั้งหมดทำงานภายในกรอบเดียวกันและส่งออกข้อมูลแบบเรียลไทม์ผ่าน “window pane” ที่แสดงสถานะ MTTA (Mean Time to Adapt) ของแต่ละรอบ

Development Background

VVAH มีต้นกำเนิดจากการมีส่วนร่วมของ Visa ใน Anthropic’s Project Glasswing ซึ่งใช้โมเดล Claude Mythos เพื่อทำการทดสอบเครือข่ายที่รองรับธุรกรรมหลายพันล้านต่อวัน ทีมงานสังเกตว่าโมเดลสามารถเชื่อมโยงจุดอ่อนเล็ก ๆ ให้กลายเป็นช่องโหว่ระดับสูงได้ การทดลองนี้ถูกนำเสนอครั้งแรกโดย Tenet Security ที่งาน DEF CON 34 ด้วยการสาธิต “GhostJacking” – โซ่มัลแวร์ที่อ่าน payload จากไฟล์ล็อกและแก้ไข DNS ด้วยข้อมูลรับรองที่เป็นของจริง

สองวันต่อมานักวิชาการจาก Exabeam, Steve Wilson, ได้เสนอแนวคิดว่าควรใส่ “gate” ก่อนโมเดลทำการเปลี่ยนแปลงสำคัญ เช่น การปรับค่า DNS โดยให้โมเดลสามารถเสนอได้แต่ต้องได้รับอนุญาตก่อนจึงจะดำเนินการจริง ความคิดเห็นนี้ถูกอ้างถึงในบทความของ VentureBeat

Adoption & Community Response

เมื่อ VVAH เปิดตัวบน GitHub ในเดือนมิถุนายน มันเริ่มรับดาวและฟอร์กอย่างรวดเร็ว โดยมีสถิติที่สำคัญดังต่อไปนี้

• ดาว (stars) เพิ่มจาก 595 เป็น **2,300+ ภายในหนึ่งเดือน
• ฟอร์ก (forks) เติบโตจาก 97 เป็น **300+
• อัตราการคลอน (clone‑to‑visitor ratio) อยู่ที่ประมาณ **9 % ตามข้อมูลของ Rajat Taneja

Taneja รายงานว่า “มีบริษัทระดับสูงหลายแห่งเริ่มใช้งาน VVAH แล้ว” ซึ่งสอดคล้องกับเป้าหมายของ Visa ที่ต้องการให้เทคโนโลยีความปลอดภัยเข้าถึงองค์กรที่อาจไม่มีทรัพยากรหรือความเชี่ยวชาญด้านไซเบอร์ security อย่างเพียงพอ การเปิดโค้ดเป็น open‑source ยังสื่อถึงแนวคิด “ทำดีโดยทำถูก” ของ Visa ที่ต้องการสนับสนุนระบบนิเวศน์โดยไม่รับ contribution จากภายนอกเพื่อป้องกันการบิดเบือนโค้ดของเครื่องมือ

Analysis & Impact

หนึ่งในเมตริกที่ Visa เน้นคือ MTTA (Mean Time to Adapt) ซึ่งวัดระยะเวลาตั้งแต่ขั้นตอน “discover” จนถึง “remediate” พร้อมกับการตรวจสอบผลลัพธ์ ตัวเลขนี้ตามรายงานของ Visa ลดลงจากหลายสัปดาห์เป็นเพียงไม่กี่ชั่วโมงในกรณีทดสอบบางรายการ การย้ำว่า “It’s not the finding. It’s the fixing that matters**” ของ Taneja แสดงให้เห็นว่าการเปลี่ยนแปลงสำคัญของอุตสาหกรรมคือการเคลื่อนย้ายจุดคั่นจากการค้นหาไปยังการแก้ไขโดยอัตโนมัติ

แม้ว่าจะมีข้อกังวลเรื่อง “gate” และการควบคุมสิทธิ์ การกำหนด IAM governance, least‑privilege และ audit trails ยังคงเป็นส่วนหนึ่งของแนวทาง 12 ข้อที่ Visa ระบุใน white paper ของตน ซึ่งทำให้ VVAH มีกรอบความปลอดภัยพื้นฐาน แม้ว่าจะไม่มีขั้นตอนการอนุมัติแบบมนุษย์ระหว่างการแพตช์ก็ตาม การเปลี่ยนแปลงนี้อาจกระตุ้นให้ผู้ให้บริการด้านความปลอดภัยและองค์กรต้องทบทวนแนวทางเดิมของ SOC และ Incident Response เพื่อรองรับสเกลที่ AI สามารถทำได้

Summary

Visa เปิดตัว VVAH ที่ทำการตรวจจับ แก้ไขและปรับใช้แพตช์โดยอัตโนมัติ ก่อนการตรวจสอบจากมนุษย์ ซึ่งเป็นก้าวสำคัญในการลด MTTA จากสัปดาห์เหลือชั่วโมง การเปิดโค้ดแบบ open‑source และการเน้นมาตรฐาน IAM ทำให้เทคโนโลยีนี้มีศักยภาพที่จะเปลี่ยนแปลงวิธีการจัดการความปลอดภัยขององค์กรในระดับกว้าง.