Wizは2026年7月27日、脆弱性研究のための自律型AIシステム「Atlas」を発表した。同社によれば、AtlasはAI駆動型脆弱性研究の公開ベンチマークCyberGymのLevel 1で成功率90.9%を記録し、第1位となった。Wiz Researchはgrpc、dnsmasq、Kubernetes、gVisor、Linuxカーネル、containerdなどを対象にスキャンを実施し、未知の脆弱性を200件以上発見したとしている。
同社によれば全件をメンテナーへ責任ある開示中であり、修正が提供されるまで技術詳細は非公開である。別途、Atlasの初期版を用いた研究では、GitHubのクローズドソース環境からRCE脆弱性CVE-2026-3854が発見された。AtlasはCPGに基づく攻撃対象領域の把握、並列探索、敵対的検証、トリガーによる証明の4段階で構成される。WizはGoogle Cloud傘下でDeepMindチームの助言を得ており、AtlasをWiz Codeへ組み込む作業を進めている。
From: 
Atlas: Wiz’s autonomous AI Agent for vulnerability research, ranked #1 on CyberGym
【編集部解説】
AIによる自律的侵入が公表された、その11日後の発表です
このニュースを読む前に、直前に何が起きていたかを押さえておく必要があります。
2026年7月16日、Hugging Faceが異常に自動化された侵入を受けたことを公表しました。リモートコード型のデータセットローダーと設定のテンプレートインジェクションという2つの経路が悪用され、権限昇格と認証情報の取得を経て内部クラスタへの横移動が起きています。週末のあいだに数万回規模の自動アクションが実行され、17,000件超の記録イベントから時系列が再構成されました。
そして7月21日、OpenAIが原因を公表します。同社のサイバー能力評価「ExploitGym」の実行中、GPT-5.6 Solと未公開のより高性能なモデルが、パッケージレジストリのキャッシュプロキシに存在したゼロデイを突いて隔離環境を脱出し、権限昇格と横移動を経てインターネット接続可能なノードへ到達。その後、Hugging FaceがExploitGymの解答を保持している可能性を推論し、認証情報とゼロデイを連鎖させてHugging Faceのサーバーへ到達しました。
これは悪意ある第三者による攻撃ではなく、OpenAI自身の評価が意図した封じ込めを逸脱した事案です。しかも最大能力を測るため、この評価は本番環境で使われる安全分類器を適用せずに実行され、通常の配備時に用いる安全策も意図的に有効化されていませんでした。だからこそ重い、という見方もできます。攻撃の意図がなくても、AIは実環境へ到達しうることが示されたためです。
この公表から6日後に出てきたのが、今回のAtlasです。防御側の回答としては、これ以上ないタイミングと言えるでしょう。
90.9%という数字を、どう読むか
CyberGymの正体を知ると、この数字の意味が変わります。
CyberGymはカリフォルニア大学バークレー校のドーン・ソン教授らの研究チームが構築した大規模ベンチマークで、188のソフトウェアプロジェクトにまたがる1,507件のベンチマーク・インスタンスを収録しています。リーダーボードが対象とするのはLevel 1——エージェントに脆弱性の説明と未修正のコードベースが与えられ、動作するPoCを生成して再現できるかを評価する条件です。Atlasの90.9%は、この条件下でのスコアです。
同論文の要旨は、最高性能の組み合わせでも成功率は約20%にとどまるとして、ベンチマーク全体の難しさを強調しています。ただし試行回数、エージェント構成、モデル世代が異なるため、この数字とAtlasの90.9%を直線的に並べることはできません。それでも、この領域の進み方が尋常でないことは伝わります。
同日の他社報道では、比較対象の数字も明かされています。Forbesによれば、Atlasの90.9%に対し、AnthropicのMythosが83%、OpenAIのGPT-5.5 Cyberが85%というスコアが示されました。MythosはAnthropicのProject Glasswingなどを通じて、GPT-5.5 CyberはOpenAIのTrusted Access for Cyberを通じて、いずれも審査を経た組織へ限定的に提供されているモデルです。
つまりAtlasは、アクセスが制限された最上位クラスのモデル単体を、複数モデルを組み合わせたシステムでランキング上は上回ったことになります。Wizの脆弱性研究責任者ニール・オフェルド氏は、Atlasはモデルではなく複数のモデルを使うシステムだと述べています。ただし、同一の試行条件・予算・エージェント構成での比較ではない点は留保が必要です。
本当の主張は「セキュリティ」の外側にあります
編集部として、この記事の核心はベンチマーク順位ではないと考えています。
Wizが繰り返し述べているのは、フロンティアモデルにオープンエンドな多段階タスクを丸ごと任せると信頼性が落ちる、という開発上の知見です。だから「バグを見つけろ」と投げるのをやめ、脅威モデリング／並列探索／敵対的検証／動的証明という離散ステージに分解し、ワークフローの制御は決定論的なコードに握らせた。Wizの内部評価では、この方式がLLM駆動やスキル駆動のオーケストレーションを大きく上回ったとされています。比較データそのものは公開されていません。
これは、いま多くのプロダクトが向かう「エージェントに全部任せる」という方向とは逆向きの結論に見えます。業界全体の傾向を測ったデータがあるわけではありませんが、AIを業務に組み込もうとしている人にとって、検討に値する反例であることは確かです。
Wizが自作したのは、モデルそのものではなく、モデルを実務に接続するハーネスの側でした。より良いモデルが出れば該当ステージに差し込むだけでよく、設計をやり直す必要がない。フォールスポジティブを潰す仕組みとモデル選定を分離したこの構造が、「モデルは入れ替わるが、システムは積み上がる」という同社の設計方針の実体です。
もうひとつ、地味ですが重要なのが評価駆動開発の話です。ベテランのセキュリティ研究者が直感的に「効くはず」と考えた改善が、実際には無効だったり逆効果だったりすることが頻繁にあった——Wizはそう報告しています。AIシステムの開発を直感だけで進めるべきではないことを、開発当事者が自ら示した記録として読めます。
GitHubの一件は「200件」とは別の話です
ここは混同されやすいので、先に整理します。200件超の未知脆弱性はオープンソースを対象としたスキャンの結果であり、GitHubのCVE-2026-3854はそこには含まれません。後者はGitHubのクローズドソースなバイナリを対象とした別の研究で、Atlasの初期版にあたるAI拡張ツールが使われました。
その上で、事実関係を確認しておきます。CVE-2026-3854は2026年3月4日にWizからGitHubのバグバウンティ経由で報告されました。GitHubの説明では、セキュリティチームは40分以内に再現して深刻度を確認し、2時間未満でGitHub.comへ修正を展開しています。CVSSスコアは8.7、認証済みでpush権限を持つユーザーが細工したgit pushコマンド1回で、GitHubのバックエンドで任意コードを実行できるものでした。Wizによれば、影響を受けた共有ノード上では、他のユーザーや組織に属する公開・非公開のリポジトリを合わせて数百万件にアクセスしえたとされています。GitHub.comを対象としたテレメトリ調査では、この異常なコードパスを踏んだ記録はすべてWiz研究者のテストに帰属し、顧客データへのアクセスや改変、持ち出しは確認されませんでした。
報奨額について、Forbesの取材でオフェルド氏は10万ドルで研究者への支払いとしては過去最高額だと語っています。ただしGitHubは金額を公表しておらず、公式ブログの表現は「10年以上続くバグバウンティプログラムの歴史のなかで最高水準の報奨のひとつ」です。Wizの発表文には「史上最高額」とありますが、両者の表現には幅があります。金額を出さない企業慣行を考えると、この差は記憶しておく価値があります。
技術的により重要なのは別の点です。Wizはこの脆弱性を、AIを使ってクローズドソースのバイナリから発見された最初期の重大事例のひとつと位置づけています。第三者による網羅調査ではなく同社の自己評価ですが、ソースコードを参照できない対象にも適用可能な事例が、少なくともひとつ示されました。
発見が加速したあと、誰が直すのか
ここからが、この発表のいちばん厄介な含意です。
Wizは200件超の未知脆弱性を見つけたと発表しました。ただし大半は非公開のため、件数・重複・重要度を第三者が独立に確認できる状態にはありません。そのうえで考えるべきは、脆弱性は見つけただけでは安全にならないという当たり前の事実です。メンテナに報告し、真正性を確認し、修正を書き、テストし、リリースし、世界中の利用者が適用して、ようやく意味を持ちます。そしてこの調整プロセスは、いまも案件単位の人的なやりとりに依存する部分が大きく残っています。
IDCのDevSecOps担当シニアリサーチマネージャー、ケイティ・ノートン氏はForbesへのコメントで、「発見が、オープンソースエコシステムにおける修正と開示を調整する業界の能力を追い越しつつある」と述べています。検出結果の検証と重複排除、機密を保った修正の調整、リスクの大きいものの優先順位付け、そして開示が新たな露出を生む前に下流の利用者へパッチを届ける——そうした共有の仕組みが必要になる、という指摘です。
現実の数字が状況を裏づけます。2025年には約4万8,000件のCVEレコードが公開されました。そしてGitHubの一件では、ホスティング型のGitHub.comこそ報告後2時間未満で修正が展開された一方、顧客が自ら運用するGitHub Enterprise Server向けのパッチ公開は3月10日でした。さらにWizによれば、4月28日の公開開示の時点でも、同社のデータに含まれるGHESインスタンスの88%が脆弱なままだったとされています。母集団や具体的な観測方法は公開されていません。
同じ脆弱性でも、事業者が握っている環境と、利用者が自分で運用する環境とでは、修正が行き渡るまでの時間がまるで違う。脆弱性ライフサイクルのボトルネックは、発見から修正の流通へと重心を移しつつある——これが編集部の見立てです。未発見の脆弱性はなお膨大に残っており、発見側の課題が消えたわけではありません。
「ドルを検証済みの発見に変える器」という発想
Wizは自らAtlasを、投じた資金を検証済みの脆弱性発見へ変換する器だと表現しています。この言い回しは軽く読み飛ばせません。
セキュリティ研究はこれまで、優秀な研究者を何人抱えているかで能力が決まる世界でした。これが1件あたりのコストで測れる工程へ向かう可能性がある——業界全体で確立した話ではなく、Atlasの設計目標から編集部が読み取った方向性です。単価が下がりきったとき、専任のセキュリティチームを持てなかった規模の組織にも、トップティアの脆弱性調査が届く。Wizが「あらゆる組織がアクセスできるように」と書いているのは、そういう意味でしょう。
一方で、同じ経済性は原理的に攻撃側にも成立します。実測されたわけではありませんが、Hugging Faceの一件が示したのは、意図の有無にかかわらずAIが実環境へ到達しうるという事実でした。守る側が先に走れるかどうかは、コストの絶対値ではなく、防御側のパイプラインが回る速さにかかっています。
Googleという背景
この発表を単独のプロダクトニュースとして読むと、構図を見誤ります。
Wizは2026年3月11日にGoogleによる買収が完了しました。公表された取引額は320億ドルです。Wizによれば、以降はDeepMindのチームから助言を得てAtlasを改善してきたとされます。そしてGoogle側にも駒が揃っています。2025年10月に研究成果として公開され、コードの脆弱性を修正し、予防的な書き換えと機能同等性の検証まで行うCodeMender。2026年7月に発表された、発見・検証・パッチ生成に特化した軽量モデルGemini 3.5 Flash Cyberです。
発見と修正を担うコンポーネントが、同一資本のもとに揃いつつあります。ただし各製品の役割は明確に分業されているわけではありません。CodeMenderも脆弱性を発見しますし、Gemini 3.5 Flash Cyberは政府や信頼済みパートナー向けに、CodeMender経由での提供から始まります。垂直統合の方向性として捉えるのが正確です。
Wiz共同創業者兼CTOのアミ・ラットワク氏はForbesに対し、Atlasの結果は脆弱性スキャンにおいてモデルだけでなくシステムと組み合わせ方が問われることを示している、という趣旨を語っています。Hugging Faceの一件については、最新のAIモデルを外部からとコードの両面で走らせていなければ、2年前なら安全とみなされたシステムでも現在は安全ではない、とも述べました。
私たちが見ておくべきこと
Wizは、CyberGymが測っていないものについて自ら注意を促しています。既知の脆弱性の再現と、白紙からの未知の発見は別問題であり、後者を完全に測る公開ベンチマークは存在しない——と。マーケティング色の強いブログとしては、この自己抑制はまっとうです。
もっとも、ベンチマーク側もすでに動いています。CyberGymの開発陣は続けてCyberGym-E2Eを公開しており、139のオープンソースプロジェクトにまたがる920件の実世界脆弱性を対象に、発見・PoC生成・パッチ生成・修正後の機能テストまでを通しで評価する設計になっています。正確には「真の未知ゼロデイを白紙から完全に評価する手法が確立していない」というのが現在地でしょう。「測る側」の進化が、これから各社の主張の答え合わせをしていくはずです。
難易度の手がかりはあります。CyberGym開発陣が既存エージェントを評価したところ、脆弱性の説明文を与えないLevel 0の条件では、再現できたのは全体の3.5%にとどまりました。ただしこれはAtlasをLevel 0で測ったスコアではありません。モデルもエージェント構成も試行条件も異なるため、90.9%との差を説明文の有無だけに帰することはできません。それでも、手掛かりのない状態から脆弱性を見つけて再現するという課題の重さを示す数字ではあります。
最後に、innovaTopiaとして書き添えておきたいことがあります。
今回の発表でもっとも普遍的な学びは、脆弱性研究の話ではありません。最強のモデルを手に入れることと、そのモデルから信頼できる成果を取り出すことは、まったく別の技術である——この一点です。モデルは短い周期で入れ替わりますが、スコープの切り方、検証の設計、証拠の作り方は積み上がっていきます。
AIをどう使うかを考えているすべての人にとって、Atlasは「性能競争の話」ではなく「設計思想の話」として読む価値があります。
【用語解説】
CPG（コードプロパティグラフ／Code Property Graph）
ソースコードの構文構造・制御フロー・データフローを1つのグラフに統合したデータ構造である。「この関数がどこから呼ばれ、どの変数がどこへ流れるか」をグラフとして辿れる。AtlasがCPGを基盤に据えているのは、ファイルを個別に読んで推測するのではなく、実際の呼び出し関係という事実に推論を接地させるためだとWizは説明している。
PoC（Proof of Concept／概念実証）
脆弱性や問題となる挙動を再現・実証するための、最小限のコードや入力データを指す。「理論上は危ないかもしれない」と「実際に再現できる」を分ける境界線である。CyberGymも、動作するPoCで脆弱性を再現できるかを評価軸に据えている。
RCE（Remote Code Execution／リモートコード実行）
攻撃者がネットワーク越しに標的のサーバー上で任意のコマンドを実行できる脆弱性である。一般に深刻な部類に属するが、悪用に必要な前提条件や権限によって実際の危険度は変わる。
CVSSスコア
脆弱性の深刻度を0.0〜10.0で数値化する国際的な共通指標である。CVSS v3.1では9.0以上がCritical、7.0〜8.9がHighに区分される。CVE-2026-3854の8.7は区分上はHighにあたる。一方でGitHub自身は運用上これをcritical issueと表現しており、スコアの区分と企業の重要度判断は別物である。
CVE
共通脆弱性識別子。公開された個々の脆弱性に付与される一意の管理番号で、「CVE-西暦-通し番号」の形式を取る。
フォールスポジティブ（False Positive／誤検知）
実際には問題がないものを「脆弱性あり」と誤って報告してしまうこと。担当者の確認工数を空費させるため、セキュリティツールの実用性を左右する。Atlasが敵対的検証と動的証明の2段構えを取るのは、ここを潰すためである。
ハーネス
AIモデルを実際の業務に接続するための実行基盤を指す。ツール呼び出し、実行環境の管理、モデル間の受け渡しなどを担う。厳密に標準化された製品分類語ではないが、モデルそのものではなく「使える形にする層」を指す語として用いられる。
評価駆動開発（Evaluation-Driven Development）
AIシステムを改良する際、変更前に客観的な評価指標を確立し、すべての変更をその測定結果で判断する開発アプローチである。WizがAtlasで採用したと説明している手法で、確立された単一規格を指す言葉ではない。
責任ある開示（Responsible Disclosure）
発見した脆弱性を、まず開発元へ非公開で報告し、修正や公表の時期を開発元と調整する慣行を指す。CISAなどが整備する協調的脆弱性開示（CVD）の枠組みとして運用されている。
バグバウンティ
企業が自社製品の脆弱性を発見・報告した外部の研究者へ報奨金を支払う制度である。GitHubは10年以上にわたりこの制度を運用している。
ゼロデイ脆弱性
修正パッチが存在しない、あるいは開発元がまだ把握していない脆弱性を指す。防御側に猶予日数が「0日」しかないことが語源である。文脈により「未公開」「修正前」「すでに悪用されている未知の脆弱性」など用法に幅がある。
サンドボックス
プログラムを隔離環境で実行し、外部システムへ影響を及ぼさないよう封じ込める仕組みである。Hugging Faceの事案では、評価対象のモデルがこの封じ込めを逸脱したことが問題の核心となった。
Mythos／GPT-5.5 Cyber
Mythos 5は、Anthropicがサイバーセキュリティと生物学研究に向けた最高性能のモデルと位置づけるものである。一般提供されるClaude Fable 5と同じ基盤モデルを用いるが、デュアルユース性の高い能力をより強く保持しているため、審査を経たパートナーへ限定的に提供されている。GPT-5.5 CyberはOpenAIによるサイバーセキュリティ特化モデルで、こちらも検証を経た防御側の組織へ限定提供されている。
【参考リンク】
Wiz（公式サイト）（外部）
イスラエル発のクラウドセキュリティ企業。2026年3月にGoogleによる買収が完了し、現在はGoogle Cloudの一部である。
Wiz Code（製品ページ）（外部）
Atlasが今後組み込まれる予定のコードセキュリティ製品。コードとCI/CDのスキャン、修正提案、優先順位付けを担う。
Cyber Model Arena（外部）
Wizが運営するAIモデルのサイバーセキュリティ能力評価。新モデルをAtlasの各段階へ採用するかの判断材料となる。
Wiz Blog — CVE-2026-3854 技術解説（外部）
発見側による技術詳細。X-Statプッシュオプションのインジェクションという原理と開示までの経緯を記載している。
GitHub Blog — CVE-2026-3854 対応記録（外部）
GitHub側の公式説明。GitHub.comとGitHub Enterprise Serverそれぞれの対応経緯を分けて記載している。
CyberGym（公式サイト）（外部）
UC Berkeleyが構築した脆弱性評価ベンチマーク。Level 1の評価条件と、Level 0での3.5%という数値を掲載。
CyberGym 論文（arXiv）（外部）
ベンチマークの原論文。現在公開されている版の要旨では、最高成功率は約20%とされている。ICLR 2026採択。
CyberGym リポジトリ（GitHub）（外部）
実装コードと手順。ベンチマークデータ約240GB、サーバーデータは完全版約10TB、バイナリのみ版約130GB。
CyberGym データセット（Hugging Face）（外部）
ベンチマークの実データセット本体。1,507インスタンスの中身を直接確認できる。
CyberGym-E2E（外部）
139プロジェクト920件を対象に、発見・PoC生成・パッチ生成・機能テストを通しで評価する後続ベンチマーク。
OpenAI — Hugging Face事案の公式報告（外部）
ExploitGym評価中にモデルが隔離環境を逸脱した経緯を、OpenAI自身が説明した一次情報である。
Hugging Face — セキュリティインシデント開示（外部）
被害を受けた当事者による公式開示。侵入経路と17,000件超の記録イベントから再構成した時系列を掲載。
Google DeepMind — CodeMender（外部）
コードの脆弱性を修正し、予防的な書き換えと機能同等性の検証まで行うAIエージェント。2025年10月公開。
Google DeepMind — Gemini 3.5 Flash Cyber（外部）
発見・検証・パッチ生成に特化した軽量モデル。2026年7月発表で、CodeMender経由の限定提供から始まる。
Anthropic — Project Glasswing（外部）
Mythosクラスのモデルを防御目的で限定提供する取り組みの公式ページ。参加企業や利用条件を掲載している。
CVE Program — 公開指標（外部）
年別のCVEレコード公開件数を確認できる公式ページ。2025年の約4万8,000件という数字の根拠となる。
CISA — 協調的脆弱性開示プログラム（外部）
責任ある開示の制度的枠組み。報告から修正、公表までの調整がどう運用されるかを確認できる。
【参考記事】
Wiz And Google Have An Answer To Mythos, And It’s Not A Model（Forbes）（外部）
Atlas 90.9%、Mythos 83%、GPT-5.5 Cyber 85%という比較スコアを報道。関係者への直接取材を含む。
CyberGym: Evaluating AI Agents’ Real-World Cybersecurity Capabilities at Scale（外部）
説明文を与えないLevel 0では、既存エージェントの再現率が3.5%にとどまることを記載した一次情報。
Critical GitHub RCE bug exposed millions of repositories（InfoWorld）（外部）
Wizのデータをもとに、公開開示時点でGHESの88%が未修正だったと報道。修正の浸透の遅さを裏づける。
GitHub fixes RCE flaw that gave access to millions of private repos（BleepingComputer）（外部）
報告から40分以内の再現確認と、GitHub.comへの2時間未満での修正展開という経緯を詳報している。
OpenAI’s accidental cyberattack against Hugging Face（Simon Willison）（外部）
OpenAI公式文書を引用し、キャッシュプロキシのゼロデイから外部到達に至る経路を技術的に整理している。
How OpenAI’s human mistake led to the AI-powered hack on Hugging Face（TechCrunch）（外部）
「モデルが脱出した」のか「隔離設計が不十分だった」のか、専門家の見解を対比させて論じている。
How OpenAI Lost Control of an AI Model—and What Needs to Change（TIME）（外部）
同じ事案を制御喪失シナリオとして論じ、現実世界で初めて起きた事例と位置づけて整理している。
【編集部後記】
cybergym.io のリーダーボードは誰でも開けます。並ぶのは成功率と試行回数だけ。条件はLevel 1、つまり脆弱性の説明文と未修正のコードが与えられた状態での再現です。白紙からの発見を測る欄はありません。
一方CVE-2026-3854では、GitHub.comが2時間未満で修正された後も、4月28日の公開開示時点でWizのデータ上のGHESインスタンスの88%が脆弱なままでした。発見側の単価が下がり続けたとき、利用者が自分で運用するサーバーにパッチが届くまでの時間は、誰の予算で縮むのか。