Wiz Project Atlas slår GPT-5.5 og Mythos – ikke med en bedre modell, men med et team av AI-agenter

Hva Project Atlas oppnådde

Benchmark-ledelse. Atlas scoret 90,9 % på CyberGym, en offentlig benchmark som måler AI-agenters evne til å reprodusere og oppdage virkelige sårbarheter på tvers av 1507 oppgaver fra 188 open source-programvareprosjekter . De beste enkeltmodellsystemene – GPT-5.5 Cyber (85,6 %) og Mythos (83 %) – ligger 5 til 8 prosentpoeng bak . Selv Microsofts MDASH-system, som brukte over 100 spesialiserte agenter og scoret 88,45 % i mai 2026, ble slått .

Over 200 nulldagsoppdagelser. I egen testing avdekket Atlas over 200 tidligere ukjente sårbarheter i mye brukte open source-prosjekter som hadde vært grundig fuzzed og revidert i årevis, inkludert Linux-kjernen, Kubernetes, gVisor, containerd og dnsmasq . Hvert funn ble autonomt validert fra start til slutt av agentsystemet – langt mer enn bare en modellbasert mistanke, men reproduserbart bevis på et reelt sikkerhetsproblem .

CVE-2026-3854 – kritisk GitHub RCE. En tidlig versjon av Atlas identifiserte en kritisk RCE-sårbarhet i GitHub sin interne git-infrastruktur (CVE-2026-3854, CVSS 8.8) . Feilen tillot enhver autentisert bruker med push-tilgang å utføre vilkårlige kommandoer på GitHub sine backend-servere med en enkelt git push-kommando, noe som ga full lese-/skrivetilgang til private depoter . Wiz rapporterte det til GitHub 4. mars 2026 via bug bounty-programmet . GitHub reproduserte problemet på 40 minutter, rullet ut en rettelse til github.com på under to timer, og bekreftet at sårbarheten ikke var blitt utnyttet i naturen .

100 000 dollar i dusør. GitHub utbetalte en dusør på 100 000 dollar for funnet – en av de største utbetalingene i programmets historie .

Multi-agent-arkitektur vs. enkeltmodellsystemer

Dette er kjernen i historien. Atlas er ikke en enkelt AI-modell – det er et multi-modell, agentisk system . Slik skiller det seg fra enkeltmodell-tilnærmingen brukt av GPT-5.5 Cyber og Mythos:

Wiz argumenterer for at systemarkitektur betyr mer enn rå modellkapasitet – Atlas slo GPT-5.5 Cyber og Mythos ikke ved å ha en bedre basismodell, men ved intelligent å kombinere flere modeller og agenter med stramme verifikasjonssløyfer .

Hvordan multi-agent-skiftet utfoldet seg i 2026

Tidslinjen for AI-sikkerhetskappløpet viser en tydelig utvikling fra enkeltmodell-dominans til multi-agent-overlegenhet:

• Tidlig–midten av 2026: Enkeltmodell-eskalering. OpenAI lanserte den fulle GPT-5.5-Cyber (85,6 % på CyberGym) i juni 2026 som en del av Daybreak-forsvarsprogrammet . Anthropics Claude Mythos Preview scoret også høyt, noe som fikk forskere ved UK AISI og Palo Alto Networks til å advare om at modellene hadde "overgått autonome hacking-benchmarker" .

• Mai 2026: Multi-agent beviser sitt potensial. Microsofts MDASH-system (over 100 spesialiserte agenter, 88,45 % på CyberGym) viste at multi-agent-systemer kunne utkonkurrere enkeltmodeller .

• Juli 2026: Multi-agent vinner. Wiz' Atlas (90,9 %) slo dem begge og beviste at orkestrering av flere frontlinjemodeller gir bedre resultater enn noen enkeltmodell .

Bredere implikasjoner: sårbarhetsoppdagelse og dusør-økonomi

Kombinasjonen av AI-agenter med systematisk fuzzing, statisk analyse og kodegjennomgang produserer nulldagssårbarheter i en enestående skala – Atlas alene fant over 200 i tungt revidert open source-kode . Denne strømmen av AI-oppdagede feil presser økonomien i sårbarhetsavsløringsprogrammer. GitHub kuttet sine offentlige bug bounty-utbetalinger med minst halvparten 27. juli 2026 (kritiske funn gikk fra $20 000–$30 000+ til et fast $10 000), mens den invitasjonsbaserte VIP-tieren fortsatt betaler $30 000+ . Rapporter innlevert før den datoen, inkludert Atlas-oppdagede CVE-2026-3854, beholdt de tidligere utbetalingsvilkårene .

Bunnlinjen

Wiz' Project Atlas er det nåværende state-of-the-art innen AI-sårbarhetsforskning – ikke fordi det bruker en bedre modell, men fordi dets multi-agent, multi-modell-arkitektur med uavhengig verifikasjon slår enkeltmodellsystemer med en betydelig margin (90,9 % mot 85,6 % og 83 %). Dette gjenspeiler et bredere skifte i AI-sikkerhetslandskapet fra 'hvilken modell er best' til 'hvordan orkestrerer man modeller effektivt'. Som Wiz og Google har uttalt, vil den vinnende tilnærmingen i AI-sikkerhetskappløpet ikke være en enkelt supermodell, men systemer som kombinerer modeller, menneskelig ekspertise og strenge verifikasjonspipelines .