Visa、AIで自社決済網の脆弱性を検出しツールを公開

Visaは、Anthropicが開発したAIモデル「Claude Mythos」を自社の決済ネットワークインフラに適用し、セキュリティ脆弱性の検出を実施した。その際に使用したツール「Visa Vulnerability Agentic Harness（VVAH）」を2025年6月10日にGitHubでオープンソースとして公開した。あわせて、アーキテクチャの詳細や教訓、重要インフラ向けの12の設計原則をまとめた技術白書も発表している。

Visaの決済ネットワークは200以上の国・地域をカバーし、約160の通貨で資金移動を処理する。また、約50億件の決済認証情報が1億7500万か所以上の加盟店と接続されており、日常的に膨大な取引を支える基盤となっている。このような規模のインフラに対し、同社は長年にわたりゼロトラストアーキテクチャ（利用者や端末を原則「信頼しない」前提で設計するセキュリティモデル）、多層防御、自動化されたセキュリティ運用を構築してきた。

今回のテストは、AnthropicがMythosの実用評価を目的として重要なソフトウェアを担う組織に呼びかけた「Project Glasswing」への参加として実施された。Anthropicによると、このプロジェクトの参加組織全体では、テスト開始から1か月で重大・高深刻度の脆弱性を1万件以上検出したという。VisaはAIのスピードで自社の防御水準を検証するためにこのプロジェクトに参加した、とVisaのテクノロジー担当社長ラジャット・タネジャ氏はVB Transform 2026で説明した。

Visa環境内でMythosが示した特徴のひとつは、スタックの深い部分に埋もれた脆弱性を単独ではなく連鎖として把握できる点だった。個々には軽微に見える問題が組み合わさることで深刻な攻撃経路になり得るという発見は、従来の侵入テスト（ペネトレーションテスト）では終盤まで表面化しにくかったものだ。一部の発見はクリティカル（最高度）の深刻度評価を受けたが、Visaはゼロトラスト制御やネットワーク分離、多層的な安全策により、外部の攻撃者が行動に移す前に連鎖を遮断できていたと説明している。

公開されたVVAHは、任意のセキュリティチームが参照・改変・拡張できる「リファレンス実装」として設計されている。タネジャ氏はCISO（最高情報セキュリティ責任者）のスブラ・クマラスワミー氏と共同でこのリリースを発表した。同氏は2013年にVisaに入社し、2019年からテクノロジー戦略・製品エンジニアリング・グローバルインフラを統括している。

重要インフラのセキュリティ検証にAIエージェントを活用する動きは、業界全体で加速しつつある。従来の人手による侵入テストは時間とコストがかかり、広大なシステム全体を継続的にカバーすることは難しかった。AIを使えば、より広い範囲をより短時間で分析できる可能性があると位置づけられる。一方で、同様のAIツールが攻撃者側にも利用されうるという前提に立てば、防御側が先手を取るための継続的な検証体制の整備が、今後の重要な課題になるという見方ができる。

Visaがツールをオープンソースで公開した点は、単なる自社の取り組みの開示にとどまらない意味を持つ。他の金融機関や重要インフラ事業者が同様の手法を採用しやすくなるとともに、業界全体でAIを活用したセキュリティ手法の知見が蓄積されていく土台になると位置づけられる。技術白書で示された12の設計原則が、こうした取り組みを広める上での共通の指針として機能するかどうかも、今後注目すべき点となる。