Wiz Project Atlas: Sistem AI Multi-Agen Ini Kalahkan GPT-5.5 dan Mythos dalam Perburuan Celah Keamanan

Apa yang Dicapai Project Atlas

Pemimpin benchmark. Atlas mencetak 90,9% di CyberGym, sebuah benchmark publik yang mengukur kemampuan agen AI untuk mereproduksi dan menemukan kerentanan dunia nyata dari 1.507 tugas yang berasal dari 188 proyek perangkat lunak open-source . Sebagai perbandingan, sistem model tunggal terbaik—GPT-5.5 Cyber (85,6%) dan Mythos milik Anthropic (83%)—tertinggal 5 hingga 8 poin persentase . Bahkan sistem MDASH milik Microsoft, yang menggunakan 100+ agen spesialis untuk mencetak 88,45% pada Mei 2026, pun berhasil dilewati .

Lebih dari 200 temuan zero-day. Dalam pengujian internalnya, Atlas menemukan lebih dari 200 kerentanan yang sebelumnya tidak diketahui di proyek open-source yang sudah digembar-gemborkan dan diaudit selama bertahun-tahun, termasuk kernel Linux, Kubernetes, gVisor, containerd, dan dnsmasq . Yang penting, setiap temuan divalidasi secara otonom dari awal hingga akhir oleh sistem agen, melampaui sekadar kecurigaan yang dihasilkan model menuju bukti yang dapat direproduksi dari masalah keamanan nyata .

CVE-2026-3854 — RCE Kritis di GitHub. Versi awal Atlas mengidentifikasi kerentanan eksekusi kode jarak jauh (RCE) yang kritis di infrastruktur git internal GitHub (CVE-2026-3854, CVSS 8.8) . Celah ini memungkinkan pengguna terautentikasi mana pun yang memiliki akses push untuk mengeksekusi perintah arbitrer di server backend GitHub hanya dengan satu perintah git push, memberikan akses baca/tulis penuh ke repositori privat . Wiz melaporkannya ke GitHub pada 4 Maret 2026 melalui program bug bounty . GitHub mereproduksi masalah ini dalam 40 menit, menerapkan perbaikan ke github.com dalam waktu kurang dari dua jam, dan memastikan tidak ada eksploitasi di dunia nyata .

Bounty $100.000. GitHub mengeluarkan bounty sebesar $100.000 untuk temuan ini—salah satu pembayaran terbesar dalam sejarah program mereka, meskipun total hadiah Wiz mungkin telah diatur melalui tarif pra-Juli 2026 sebelum program publik dipotong .

Arsitektur Multi-Agen vs. Sistem Model Tunggal

Inilah inti cerita arsitekturalnya. Atlas bukanlah model AI tunggal—ia adalah sistem agen multi-model . Berikut perbedaannya dengan pendekatan model tunggal yang digunakan oleh GPT-5.5 Cyber dan Mythos:

Wiz berargumen bahwa arsitektur sistem lebih penting daripada kemampuan model mentah—Atlas mengalahkan GPT-5.5 Cyber dan Mythos bukan karena memiliki model dasar yang lebih baik, tetapi dengan cerdas menggabungkan beberapa model dan agen dengan loop veriksi yang ketat .

Bagaimana Pergeseran ke Multi-Agen terjadi pada 2026

Garis waktu perlombaan senjata keamanan AI menunjukkan lintasan yang jelas dari dominasi model tunggal menuju keunggulan multi-agen:

• Awal–pertengahan 2026: Eskalasi model tunggal. OpenAI merilis GPT-5.5-Cyber versi penuh (85,6% di CyberGym) pada Juni 2026 sebagai bagian dari program pertahanan Daybreak . Claude Mythos Preview milik Anthropic juga mencetak skor tinggi, mendorong para peneliti dari UK AISI dan Palo Alto Networks untuk memperingatkan bahwa model telah "melampaui tolok ukur peretasan otonom" .

• Mei 2026: Multi-agen membuktikan potensinya. Sistem MDASH milik Microsoft (100+ agen spesialis, 88,45% di CyberGym) menunjukkan bahwa sistem multi-agen dapat mengungguli model tunggal .

• Juli 2026: Multi-agen menang. Atlas milik Wiz (90,9%) mengungguli keduanya, membuktikan bahwa orkestrasi beberapa model frontier mengungguli model tunggal mana pun .

Implikasi Lebih Luas: Penemuan Kerentanan dan Ekonomi Bounty

Kombinasi agen AI dengan fuzzing sistematis, analisis statis, dan peninjauan kode menghasilkan zero-day dalam skala yang belum pernah terjadi sebelumnya—Atlas saja menemukan 200+ celah dalam kode open-source yang sudah diaudit ketat . Banjir bug yang ditemukan AI ini menekan ekonomi program pengungkapan kerentanan. GitHub memangkas pembayaran bug bounty publiknya setidaknya setengahnya pada 27 Juli 2026 (temuan kritis turun dari $20k–$30k+ menjadi tetap $10k), meskipun tingkat VIP undangan eksklusif masih membayar $30k+ . Laporan yang diajukan sebelum tanggal itu, termasuk CVE-2026-3854 yang ditemukan Atlas, tetap mempertahankan ketentuan pembayaran sebelumnya .

Intinya

Project Atlas dari Wiz adalah yang terdepan saat ini dalam riset kerentanan AI—bukan karena menggunakan model yang lebih baik, tetapi karena arsitektur multi-agen dan multi-model-nya dengan verifikasi independen mengalahkan sistem model tunggal dengan selisih yang signifikan (90,9% vs. 85,6% dan 83%). Ini mencerminkan pergeseran yang lebih luas dalam lanskap keamanan AI dari "model mana yang terbaik" menjadi "bagaimana cara mengatur model secara efektif." Seperti yang dinyatakan oleh Wiz dan Google, pendekatan yang menang dalam perlombaan senjata keamanan AI bukanlah model super tunggal, tetapi sistem yang menggabungkan model, keahlian manusia, dan jalur verifikasi yang ketat .