How Visa Secures Trillions Using AI Agents & Open-Source Harnesses | Subra Kumaraswamy

How Visa Secures Trillions Using AI Agents & Open-Source Harnesses | Subra Kumaraswamy

Comment Visa sécurise des milliards en utilisant des agents d'IA et des harnais open-source | Subra Kumaraswamy

par Subra Kumaraswamy · Voir la chaîne sur PSI

Sciences appliquées & ingénierie IA — Actualité & Applications UYInformatiqueUYQIntelligence artificielle (IA)
🎙 Subra Kumaraswamy 👥 28K 📅 2 octobre 2026 ⏱ 55 min 👁 265 📄 opinion experte 🧭 2026-10-03
Disponible en : Français (actuel) English

Mots-clés

VVAHMythosMTTAZero TrustAgents IA

Résumé

Dans cet épisode du AI Security Podcast, Subra Kumaraswamy, CISO de Visa, partage son expérience sur la sécurisation des infrastructures critiques avec l’IA. Il évoque son parcours depuis Netscape et Sun Microsystems, ainsi que l’amélioration du score de maturité cyber de Visa, passé de 3,2 à 4,9 sur 5. Subra détaille la participation de Visa au projet Glasswing d’Anthropic pour tester le modèle Mythos, et explique pourquoi seulement 0,03 % des vulnérabilités découvertes étaient réellement exploitables grâce à une architecture zero trust et une micro-segmentation robuste. Il présente le harnais VVAH (Visa Vulnerability Agentic Harness) open sourcé par Visa, conçu pour accélérer la découverte et la remédiation des vulnérabilités quel que soit le modèle d’IA. Il introduit également la métrique MTTA (Mean Time to Adapt), qui remplace les délais traditionnels de patch pour s’adapter à la vitesse machine des attaques. L’entretien aborde la gestion de 98 % des incidents de niveau 1 par des agents IA, la gouvernance de l’IA entre innovation et contrôles de production, et la nécessité de recruter des profils avec un quotient de curiosité élevé. Enfin, Subra insiste sur l’importance de prioriser les vulnérabilités critiques et de maintenir une discipline de sécurité fondamentale.

197 mots

Évaluation critique

Valeur des informations & solidité de l’argumentation

La valeur de cet épisode réside dans le partage d’expérience concrète d’un acteur majeur comme Visa. Les informations sont pratiques et directement exploitables, notamment le harnais VVAH et la métrique MTTA. L’argumentation est cohérente et appuyée par des exemples réels, comme l’analyse de la chaîne de destruction (kill chain) et l’explication de la multi-chaînes de vulnérabilités. Le raisonnement est logique, même si certaines affirmations reposent sur des données internes non publiées, ce qui limite la validation indépendante.

Rigueur scientifique, qualité des sources, adéquation du titre

La rigueur scientifique est moyenne : l’épisode est un témoignage d’expert, sans références académiques, mais il s’appuie sur son expérience de terrain. Les sources citées sont principalement les liens du podcast, sans lien direct vers les travaux originaux mentionnés (VVAH, Mythos). Le titre est en adéquation avec le contenu, mais il est orienté marketing. L’absence de commentaires ne permet pas d’analyser les tendances du public.

157 mots

Adéquation titre / contenu

Le titre reflète fidèlement le contenu : l'épisode traite de l'utilisation d'agents IA et d'un harnais open-source pour la sécurité chez Visa.

Qualité & fiabilité

7/10

L'invité est un expert avec 30 ans d'expérience en cybersécurité, et le contenu est riche en détails pratiques. Cependant, les affirmations reposent sur des expériences internes non publiées, ce qui limite la vérifiabilité.

Chapitres

Sources citées

Apport & nouveautés

L’apport principal est la description détaillée du harnais open-source VVAH de Visa, qui permet aux équipes de sécurité de découvrir et hiérarchiser les vulnérabilités via des agents IA, ainsi que l’introduction de la métrique MTTA (Mean Time to Adapt) pour mesurer l’efficacité de la remédiation à vitesse machine. L’épisode fournit aussi des informations sur le test du modèle Mythos et l’importance de l’architecture zero trust pour atténuer les exploits.

Pour aller plus loin :

  • Zero Trust Architecture — Concept clé évoqué pour montrer comment la segmentation limite l’exploitation.
  • MITRE ATT&CK — Framework de référence pour modéliser les tactiques et techniques des attaquants, pertinent pour comprendre la chaining des vulnérabilités.
  • OWASP Application Security Verification Standard (ASVS) — Guide pour tester la sécurité des applications, utile pour évaluer la découverte de vulnérabilités business logic.

132 mots

Profil radar

Le profil radar montre un niveau technique élevé, avec une quantité d'informations importante et une fiabilité moyenne. La note globale de 4/5 reflète la richesse du contenu, mais l'absence de sources vérifiables et le caractère subjectif des données limitent la fiabilité.

Fiabilité 7/10