Wiz lanceert Atlas, een AI-agent die elk lek met een werkende exploit bewijst

Wiz lanceert Atlas, een autonome AI-agent die kwetsbaarheden in code opspoort en een vondst pas doorgeeft nadat hij er zelf een werkende exploit voor heeft gebouwd, meldt het beveiligingsbedrijf op zijn eigen blog.

Voor een Nederlands bedrijf dat pentests inkoopt of codescans automatiseert, verschuift daarmee wat een securityrapport waard is. De kosten van zo'n scan zitten zelden in de tool. Ze zitten in de uren die je team kwijt is om uit te zoeken welke van de honderden meldingen echt misbruikt kan worden. Atlas levert bij elke bevinding een proof of concept die de fout aantoonbaar afvuurt, dus wat overblijft is geen lijst met verdenkingen maar een lijst met bewijs. Kopen kun je het alleen nog niet.

De score klopt, maar meet iets smallers

Op de openbare CyberGym-ranglijst staat Atlas sinds 27 juli bovenaan met 90,9 procent, voor het agentsysteem Crystalline met 89,6 procent en Microsofts MDASH met 88,4 procent. Die ranglijst is niet Wiz' eigen podium: hij wordt bijgehouden door de onderzoeksgroep van Dawn Song aan UC Berkeley, en elke inzending staat er met bron en datum bij. De claim is dus publiek na te lopen, wat in dit domein niet vanzelfsprekend is.

Wat de score meet, is smaller dan de kop suggereert, en Wiz zegt dat er zelf bij. CyberGym niveau 1 geeft een agent de beschrijving van een al bekende kwetsbaarheid plus de ongepatchte broncode, en telt of hij een proof of concept maakt die op de oude versie crasht en op de gerepareerde niet. Dat is reproduceren, niet ontdekken. Een onbekend lek vinden begint bij een leeg blad, zonder omschrijving en zonder wijzer naar de verdachte functie, en volgens Wiz meet geen enkele publieke benchmark dat vandaag goed.

Die nuance is deze week extra relevant. Microsoft claimde op dezelfde dag dat zijn MDASH-opstelling met het eigen model MAI-Cyber-1-Flash en GPT-5.4 op 95,95 procent uitkomt, maar dat getal staat niet op de publieke ranglijst. Microsofts eigen inzending bleef daar op de 88,4 procent uit mei staan, constateerde The Hacker News een dag later. Argwaan bij scores is in dit domein sowieso verstandig: het Britse AI Security Institute toonde aan dat AI-modellen tijdens cybersecuritytests systematisch frauderen, onder meer door de testomgeving te manipuleren.

Een rechtszaal midden in de pijplijn

Atlas is geen model maar een systeem van gespecialiseerde agents, elk op het model dat voor die deeltaak het best scoort. Op de ranglijst staat de opstelling genoteerd als GPT-5.5 plus Claude Opus 4.6. Nir Ohfeld, hoofd kwetsbaarhedenonderzoek bij Wiz, zei tegen Forbes dat Atlas anders dan Anthropics Mythos of OpenAI's Daybreak geen model is maar een systeem dat meerdere modellen naast elkaar inzet.

Het werk loopt in vier stappen. Eerst bouwt Atlas een dreigingsmodel van de codebase op basis van een code property graph, zodat het redeneert over echte aanroep- en datastromen in plaats van over losse bestanden. Daarna onderzoeken meerdere agents parallel hun eigen hypotheses. Vervolgens gaat elke kandidaat door wat Wiz een rechtszaal noemt: een agent betoogt dat het lek echt misbruikbaar is, een tweede probeert dat onderuit te halen en een derde weegt het bewijs en beslist. Alleen wat die aanval overleeft, blijft staan. Tot slot bouwt het systeem een draaiende testomgeving, installeert de afhankelijkheden en vuurt de invoer af die de fout daadwerkelijk triggert.

Die derde stap is waar de valse meldingen sneuvelen. Het is ook het deel waarop je een leverancier kunt bevragen zodra hij met een AI-scanner aan tafel komt: wie weerlegt hier de bevinding, en wat gebeurt er met wat de weerlegging niet overleeft.

Ruim 200 onbekende lekken, waaronder een in GitHub

Wiz liet Atlas los op zwaar gecontroleerde open source: grpc, dnsmasq, Kubernetes, gVisor, de Linux-kernel en containerd. Het systeem vond daar naar eigen zeggen ruim 200 nog onbekende kwetsbaarheden, elk end to end gevalideerd. De technische details houdt het bedrijf achter tot de beheerders een reparatie klaar hebben.

Het scherpste voorbeeld is ouder. Een vroege versie van Atlas hielp bij het vinden van CVE-2026-3854, een kritieke fout in de interne git-infrastructuur van GitHub waarmee een aanvaller met een enkele git push willekeurige commando's kon uitvoeren. Op GitHub.com gaf dat toegang tot repositories op gedeelde opslagknooppunten, op GitHub Enterprise Server tot de hele server en de interne geheimen. GitHub patchte binnen zes uur na de melding en het lek werd op 28 april openbaar. Wiz noemt het de grootste bug bounty die GitHub ooit uitkeerde en Forbes zet er een bedrag van 100.000 dollar bij.

Wat je er vandaag mee kunt

Direct niets. Atlas is voorlopig niet commercieel verkrijgbaar en draait intern bij Wiz. Het bedrijf bouwt het in in Wiz Code, waar het naast Googles CodeMender wordt losgelaten op de plekken die extra aandacht verdienen. Wiz hoort inmiddels bij Google Cloud en kreeg voor Atlas input van DeepMind.

De lat schuift wel op. Katie Norton van analistenbureau IDC waarschuwt dat het ontdekken van kwetsbaarheden de capaciteit van de sector om herstel te coördineren voorbijstreeft. Dat is geen abstractie: ruim 200 gevalideerde lekken in Kubernetes en de Linux-kernel belanden uiteindelijk in de patchcyclus van iedereen die daarop draait.

De beweging is breder dan Wiz alleen. AWS Continuum ontdekt kwetsbaarheden doorlopend en valideert welke er echt misbruikt kunnen worden, en Cisco bracht met Antares modellen uit die een codebase doorzoeken voor 0,60 tot 0,82 dollar per run, tegen 141 dollar op GPT-5.5. Wat Atlas daaraan toevoegt is de bewijslast: geen gerangschikte lijst met vermoedens, maar een exploit die draait.

Zolang scannen duur en onnauwkeurig was, ging de discussie over wat je nog kon vinden. Zodra een systeem elk lek met een werkende exploit aanlevert, gaat de vraag over wat je nog kunt dichten. De achterstand verplaatst zich van detectie naar herstel, en dat is precies de kant waar de meeste organisaties het minst op zijn ingericht.