Visa, AI로 자사 결제망 취약점 검출 도구 공개

Visa는 Anthropic이 개발한 AI 모델 「Claude Mythos」를 자사 결제 네트워크 인프라에 적용하여 보안 취약점 검출을 실시했다. 이 과정에서 사용한 도구 「Visa Vulnerability Agentic Harness(VVAH)」를 2025년 6월 10일 GitHub에 오픈소스로 공개했다. 아울러 아키텍처의 세부사항과 교훈, 중요 인프라용 12가지 설계 원칙을 정리한 기술 백서도 발표했다.

Visa의 결제 네트워크는 200개 이상의 국가와 지역을 커버하며, 약 160개 통화로 자금 이동을 처리한다. 또한 약 50억 건의 결제 인증 정보가 1억 7500만 곳 이상의 가맹점과 연결되어 있으며, 일상적으로 막대한 거래를 지탱하는 기반이 되고 있다. 이러한 규모의 인프라에 대해 동사는 오랜 기간에 걸쳐 제로트러스트 아키텍처(이용자와 기기를 원칙 "신뢰하지 않음"을 전제로 설계하는 보안 모델), 다층 방어, 자동화된 보안 운영을 구축해왔다.

이번 테스트는 Anthropic이 Mythos의 실용 평가를 목적으로 중요한 소프트웨어를 담당하는 조직에 요청한 「Project Glasswing」에 참여하는 형태로 실시되었다. Anthropic에 따르면, 이 프로젝트의 참여 조직 전체에서는 테스트 시작으로부터 1개월 내에 치명적·고심각도 취약점 1만 건 이상을 검출했다고 한다. Visa는 AI의 속도로 자사의 방어 수준을 검증하기 위해 이 프로젝트에 참여했다고 Visa의 기술 담당 부사장 라자트 타네자 씨는 VB Transform 2026에서 설명했다.

Visa 환경 내에서 Mythos가 보여준 특징 중 하나는 스택의 깊은 부분에 매장된 취약점을 단독으로가 아닌 연쇄로 파악할 수 있다는 점이었다. 개별적으로는 경미해 보이는 문제들이 조합되면서 심각한 공격 경로가 될 수 있다는 발견은 기존의 침투 테스트(펜트레이션 테스트)에서는 후반부까지 드러나기 어려웠던 것이다. 일부 발견은 크리티컬(최고 수준) 심각도 평가를 받았으나, Visa는 제로트러스트 제어, 네트워크 분리, 다층적 안전 조치를 통해 외부 공격자가 행동에 나서기 전에 연쇄를 차단할 수 있었다고 설명하고 있다.

공개된 VVAH는 임의의 보안팀이 참조·변경·확장할 수 있는 "레퍼런스 구현"으로 설계되었다. 타네자 씨는 CISO(최고 정보 보안 책임자) 수브라 쿠마라스와미 씨와 함께 이 릴리스를 발표했다. 동 씨는 2013년 Visa에 입사하였으며, 2019년부터 기술 전략·제품 엔지니어링·글로벌 인프라를 총괄하고 있다.

중요 인프라의 보안 검증에 AI 에이전트를 활용하는 움직임은 업계 전체에서 가속화되고 있다. 기존의 인력에 의한 침투 테스트는 시간과 비용이 소요되며, 광대한 시스템 전체를 지속적으로 커버하기 어려웠다. AI를 사용하면 더 넓은 범위를 더 짧은 시간에 분석할 수 있을 가능성이 있다고 위치 지워진다. 한편, 유사한 AI 도구가 공격자 측에서도 활용될 수 있다는 전제 하에서는, 방어 측이 선제적으로 나가기 위한 지속적인 검증 체계 정비가 향후 중요한 과제가 된다는 관점도 있다.

Visa가 도구를 오픈소스로 공개한 점은 단순히 자사의 노력을 공개하는 것에 그치지 않는다. 다른 금융 기관과 중요 인프라 사업자가 유사한 방법을 채택하기 용이해지며, 업계 전체에서 AI를 활용한 보안 기법의 지식이 축적되는 토대가 된다고 위치 지워진다. 기술 백서에서 제시된 12가지 설계 원칙이 이러한 노력을 확산시키는 데 있어 공통의 지침으로서 기능할 수 있을지 여부도 향후 주목할 점이 된다.