Microsoft выпустила MAI-Cyber-1-Flash: модель кибербезопасности с 5 млрд активных параметров, достигшая 95,95% на CyberGym

Компания Microsoft AI представила MAI-Cyber-1-Flash — свою первую модель, созданную специально для задач киберзащиты. Модель не поставляется как отдельный конечный продукт — она работает внутри MDASH, многомодельного агентного сканера Microsoft.

MAI-Cyber-1-Flash представляет собой трансформер с механизмом самовнимания и разреженными слоями Mixture-of-Experts. Модель насчитывает 137 миллиардов параметров, из которых 5 миллиардов активны, и поддерживает контекстную длину в 256 тысяч токенов. Ввод и вывод обрабатываются только в текстовом формате.

Это специализированная для кибербезопасности донастройка модели MAI-Code-1-Flash — лёгкой агентной модели для программирования, уже встроенной в GitHub Copilot и VS Code. В релизе отмечается, что модель происходит из линейки MAI-Thinking-1.

CyberGym — это публичный набор из 1507 задач по воспроизведению реальных уязвимостей, составленных на основе 188 проектов OSS-Fuzz. Microsoft проводила оценку при стандартной конфигурации CyberGym уровня 1, которая предоставляет уязвимый исходный код и описание на высоком уровне.

MDASH с MAI-Cyber-1-Flash в связке с GPT-5.4 показывает результат 95,95%. Microsoft утверждает, что это примерно на 12 пунктов выше показателя Mythos от Anthropic, а на графике запуска четыре конкурирующие системы располагаются в диапазоне от 83,2% до 85,6%.

Когда Microsoft впервые подробно рассказала о MDASH в мае 2026 года, сканер показал 88,45% на CyberGym, используя только общедоступные модели. Это уже было лучшим результатом в публичном рейтинге — примерно на пять пунктов впереди следующего участника с 83,1%. Исследовательская группа констатирует улучшение прямо: замена 80% существующих моделей в MDASH подняла результат с 88,4% до 95,95%.

MDASH управляет более чем 100 специализированными агентами через пять этапов: Prepare (Подготовка), Scan (Сканирование), Validate (Валидация), Dedupe (Дедупликация) и Prove (Доказательство). Агенты-аудиторы отмечают находки, агенты-дискутанты обсуждают возможность эксплуатации, используя разногласия как сигнал, а на этапе Prove выполняются входные данные с ASan для целей на C/C++.

Для контроля затрат на использование передовых моделей MAI-Cyber-1-Flash обрабатывает до 90% задач MDASH, передавая наиболее сложные 10% модели GPT-5.4. Такая маршрутизация обеспечивает экономию в 50% по сравнению с предыдущей конфигурацией, включавшей GPT-5.4, 5.4 mini и 5.3 codex.

MDASH была разработана командой Autonomous Code Security (ACS) Microsoft, в состав которой входят участники команды Team Atlanta — победителя DARPA AI Cyber Challenge. В мае работа с использованием MDASH позволила выявить 16 уязвимостей CVE (включая четыре критических с удалённым выполнением кода) в сетевом стеке и стеке аутентификации Windows. Ретроспективно система восстановила 96% из 28 случаев MSRC в clfs.sys и 100% из 7 случаев в tcpip.sys за пятилетний период.

Нулевые показатели на ExploitGym являются намеренными, а не дефектом. Команда Microsoft утверждает, что модель обучалась выполнять защитные задачи, такие как исправление ошибок, а не атакующие задачи, например развёртывание вредоносного ПО. Модель с 5 млрд активных параметров, которая не может генерировать эксплойты, но способна обеспечить 95,95% точности обнаружения уязвимостей — это именно тот артефакт, который нужен продукту, ориентированному исключительно на защиту.