Google旗下網路安全部門Wiz周二（7/28）宣布能尋找漏洞的自主AI系統Atlas，主打兼具成本效益和精確性，宣稱已找出200多項之前未發現的漏洞，包括一個價值10萬美元獎金的發現。
Atlas是由一組專門化的AI代理人組成，每個代理人專注特定任務以便像人類的研究團隊，包括理解程式庫、提出漏洞假設、相互質疑並完成驗證，最後通報。Atlas的代理人作業劃分多階段作業、程式化協同進行，而非由單一模型從頭到尾做完。
Atlas運作模式包含先根據軟體程式庫建立威脅模型，並以程式屬性圖（code property graph）驗證找出可能的威脅路徑。第二階段中，多個代理人分別發展漏洞假設並驗證，產生一個候選的多步驟複合型漏洞。接著，這個候選漏洞由三個代理人分別擔任辯護、反駁和最終裁決的角色，只有通過驗證的漏洞才會保留。最後Atlas會建立專屬執行環境，安裝相依套件，並執行輸入指令來觸發漏洞加以驗證。
此外，為節省運行成本，Atlas系統採用精細分工。例如僅在需要極高推理能力的步驟（如複雜的漏洞利用鏈推演、最後的裁決）使用頂級模型。對於範疇明確、重複性高的工作如基礎的程式碼屬性圖分析、初步篩選，則使用成本較低的小型模型處理。再加上確定性程式碼高效率引導，在對抗式審查提前攔截誤判、專為漏洞研究打造的執行框架（harness），藉此降低Atlas的運作成本。
Google表示，這種設計方式使Atlas系統深度分析夠便宜而能大規模執行，系統對每項發現都會利用自己設計的攻擊程式進行驗證，以降低誤判。
Google引用AI漏洞標竿測試CyberGym的結果，Atlas以90.9%，超越GPT-5.5-Cyber、Claude 4.6、Claude Mythos Preview等競爭模型。而在實際應用上，Atlas在幾個月的開發過程中，已在知名開源專案包括grpc、dnsmasq、Kubernetes、gVisor等找出並且驗證200多個之前未知的漏洞。
其中一個GitHub的重大程式碼執行（RCE）漏洞CVE-2026-3854，風險值8.7，這項發現也成為GitHub歷來頒發獎金最高的漏洞，金額達10萬美元。Wiz預計在8月初的Black Hat中公布另一個由Atlas發現的漏洞。
微軟也在昨日公布首個自行開發、宣稱結合MDASH平臺可省50% GPU成本的資安AI模型MAI-Cyber-1-Flash，以及代理式安全系統Project Perception。
Comments (0)