用途：VVAH（Visa Vulnerability Agentic Harness）是 Visa 开源的自主漏洞发现工具，用前沿 AI 模型驱动 SAST 流水线，目标是缩短从 AI 发现弱点到验证修复的平均适应时间（MTTA）。
主要能力：9 阶段流水线分三阶段——发现与建模（S1 攻击面测绘、S2 威胁建模、S3 漏洞研究策略）、深入与验证（S4 多视角研究、S5 策略门禁、S6 对抗验证）、综合与报告（S7 去重、S8 利用链构建、S9 输出 SARIF）。结果写入 <target>/security-scan/，含 Markdown 报告、SARIF 2.1.0、错误日志与 run_manifest.json。
使用方式：需 Python ≥ 3.10，以及 Claude Code 会话或 Anthropic/OpenAI API Key。安装：python3 -m venv .venv && source .venv/bin/activate && pip install .，或 pipx install .，得到 vvaharness 命令。配置 .env 与 profiles/full.yaml，按阶段选择 cli、sdk、openai 后端与模型。常用命令：vvaharness doctor、vvaharness setup --install-agents、vvaharness estimate --repo /path/to/target、vvaharness scan --repo /path/to/target --application-id 12345，支持 --dry-run、--module、--repo-file 批量扫描。可设 max_budget_usd 控制成本，并接入 CI/CD 上传 SARIF。
适用场景：自有或获授权代码的漏洞发现、批量仓库扫描、CI 安全门禁。
限制：仅限授权代码；发现结果属待人工分诊的候选，非已确认 CVE；需人工复核；成本与模型可用性取决于所选后端与配置。