「Mythos超え」は本当か？Microsoft「MAI-Cyber-1-Flash」のCyberGym 95.95%を検証する¶

95.95%から読めること、読めないこと

公開資料が示すこと	公開資料だけでは決められないこと
MDASH構成はCyberGymで95.95%を記録した	MAI-Cyber-1-Flash単体がMythos 5より強い
Microsoftの比較図ではMythos 5を約12ポイント上回った	公開リーダーボードと同一条件で首位になった
Level 1で既知脆弱性のPoCを再現できた	未知脆弱性の発見率やパッチの正しさも95.95%である
現行MDASH構成比でコストを50%削減した	他社製品より常に半額で運用できる

Microsoftは2026年7月27日、サイバーセキュリティ向けの自社モデル「MAI-Cyber-1-Flash」を発表した。¹ 同日、エージェント型セキュリティシステム「Project Perception」も公開した。² Project Perceptionは8月3日にパブリックプレビューへ入る予定である。

発表の中心は、MAI-Cyber-1-FlashとGPT-5.4を組み込んだMDASHの比較だ。この構成はCyberGymで95.95%を記録し、AnthropicのMythos 5を約12ポイント上回った。 95.95%はモデル単体の能力ではなく、複数モデルと100超の専門エージェントを動かすMDASH全体の成功率である。 しかも評価対象は、説明が与えられた既知脆弱性の再現であり、未知脆弱性のブラインド発見ではない。

MDASHの95.95%の内訳

1370億パラメータのうち50億だけを動かす¶

MAI-Cyber-1-Flashは、コード向けモデルMAI-Code-1-Flashをサイバーセキュリティ用にファインチューニングしたモデルである。モデルカードではスパースMixture-of-Experts（MoE）を採用し、総パラメータ数1370億のうち50億を動かす。³ コンテキスト長は25万6000トークンで、入出力はテキストである。

系譜をたどると、MAI-Code-1-Flashの開発はMAI-Thinking-1の中間学習チェックポイントから始まった。 Microsoftは、その後に教師ありファインチューニング、約200万件の合成エージェントタスクを使う追加学習、15万超の環境での強化学習を行ったと説明する。⁴ したがって「MAI-Thinking-1をそのまま軽量化したモデル」ではなく、その系譜をコード向け、さらにセキュリティ向けへ段階的に調整したモデルと捉えるほうが正確だ。

単体APIとしての一般提供は予定されていない。 Azure AI Foundryのプライベートプレビューを通じ、Microsoftの審査を受けたMDASH顧客がMDASH内でのみ利用できる。³

MDASHの段階分けが95.95%を支える¶

MDASHはモデル名ではなく、脆弱性の発見から修正までを統制するマルチモデル型の実行基盤である。 Microsoftは100を超える専門エージェントを次の5段階に分けている。⁵

段階	MDASHが行う処理
Prepare	コードベースを取り込み、攻撃対象領域と脅威モデルを作る
Scan	監査エージェントが脆弱性候補と根拠を出す
Validate	別のエージェント群が到達可能性と悪用可能性を反対側から検討する
Dedupe	意味的に同じ候補を統合する
Prove	トリガー入力を生成し、可能な場合は実行して脆弱性を実証する

C/C++のProve段階ではAddressSanitizer（ASan）などを使い、入力が実際に不正なメモリアクセスを起こすか確かめる。候補を出したエージェントと反証するエージェントの不一致も、検証を続けるシグナルとして使う。 Microsoft Security担当バイスプレジデントのTaesoo Kim氏が「モデルは一つの入力であり、その周囲のシステムが製品だ」と説明する理由がここにある。⁵⁶

今回のモデルカードでは、既存のMDASH構成にあったモデルの80%を MAI-Cyber-1-Flashへ置き換えた。³ CyberGymの成功率は88.4%から95.95%へ7.55ポイント上がった。この差は、モデルの重みだけでなく、MDASHの探索、反証、重複排除、実行検証を通った結果である。

90対10のルーティングがコスト主張の中心になる¶

Microsoftは、MAI-Cyber-1-Flashが最大90%のタスクを処理し、例外的に難しい10%をGPT-5.4へ回す設計を示した。¹ 「90%」はタスクの処理割合であり、モデルカードの「80%」はMDASH内で置き換えた既存モデルの割合である。両者は同じ分母ではない。

同社は、この構成によって、GPT-5.4、GPT-5.4 mini、GPT-5.3 Codexを使う現行の最良MDASH構成からコストを50%削減したとする。¹ 専用の軽量モデルを既定経路に置き、高価なモデルの呼び出しを難問へ限定するため、仕組みとしては合理的である。

ただし、公開資料にはトークン数、モデル呼び出し回数、レイテンシ、タスク構成、計算資源の配分がない。第三者は50%という削減率を再現できず、他社システムの費用とも正規化して比べられない。企業がPoCを行う場合は、1回のスキャン価格ではなく、検証済みの脆弱性1件を得るまでの総費用と所要時間を測る必要がある。

CyberGym Level 1は既知脆弱性の再現を測る¶

CyberGymは、OSS-Fuzzで見つかった脆弱性を基に、188のオープンソースプロジェクトから1507件の評価タスクを構成した公開ベンチマークである。⁷ 公開リーダーボードが採用するLevel 1では、エージェントに脆弱性の説明と修正前のコードを渡し、対象の脆弱性を再現する動作可能な概念実証（PoC）を生成できるかを判定する。 PoCが修正前の版では発火し、修正後の版では発火しないことも成功条件に含まれる。

この設計は、広いコードベースを読み、既知の症状へ到達する入力を作る能力を測れる。一方で、次の能力を95.95%という数値から直接推定することはできない。

説明がない状態で未知脆弱性を発見する能力
誤検知を含む候補群から真の脆弱性を選ぶ精度
安全で回帰のないパッチを生成する能力
企業固有のビルド環境や非公開コードでの成功率

CyberGymの研究チームはLevel 1とは別に、最新コードを使ったオープンエンドの発見実験も行っている。⁷ ベンチマーク自体が未知脆弱性を扱わないのではなく、公開リーダーボードの95.95%が指す評価設定と、別実験を混同しないことが必要だ。

Microsoftの比較図と公開リーダーボードは一致していない¶

Microsoftの発表図では、MDASH（MAI-Cyber-1-FlashとGPT-5.4）が95.95%だった。¹ 比較対象のMythos 5、Gemini 3.5 Flash Cyber、GPT系の構成は83.2%から85.6%だった。 Mythos 5は83.8%と報じられており、Microsoftがいう「約12ポイント」は95.95%との差を丸めた表現である。⁸

しかし、CyberGymの公開リーダーボードには7月28日の確認時点で95.95%が掲載されていなかった。 Microsoftの掲載済み結果は5月12日提出の88.4%のままで、Microsoftの公開資料にも95.95%を提出したかどうかの説明はない。⁹

さらに、Wizは7月27日、同社のエージェント型システム「Atlas」が公開リーダーボードで90.9%を記録したと発表した。¹⁰ Microsoftの比較図にAtlasは含まれていない。数値をそのまま引けば95.95%との差は5.05ポイントだが、Microsoft側の試行回数やリーダーボードと同じ提出手続きを経たかが確認できないため、同条件の直接比較とは扱えない。

公開情報から支持できる表現は「Microsoftの社内評価図でMythos 5を約12ポイント上回った」までである。「第三者が確認した公開リーダーボードで首位になった」と言い換えることはできない。

6月の96.55%とは成功条件が違う¶

Microsoftは6月、MDASHがCyberGymで96.55%を記録したと発表していた。この数値は対象の脆弱性だけでなく、対象外を含む「何らかのクラッシュ」を成功として数える条件だった。⁶

7月の95.95%について、発表記事とモデルカードは同じ「any crash」条件を使ったとは記載していない。したがって96.55%から95.95%へ下がったとも、モデル変更で性能が悪化したとも判断できない。成功条件が揃っていない数値を時系列の折れ線に置くと、評価基準の差を性能変化と誤認する。

モデル単体の結果は別の能力を測っている¶

モデルカードは、軽量なターミナルハーネスを使ったMAI-Cyber-1-Flash単体の評価も公開している。³

ベンチマーク	MAI-Cyber-1-Flash単体
CVEBench	0.314
CyberSecEval4 Threat Intelligence	0.553
CyberSecEval4 Malware Analysis	0.33
CRSBench	0.651（POV=1200）
ExploitGym Kernel / Userspace / Browser	0 / 0 / 0

これらはCyberGymとタスク、尺度、ハーネスが異なるため、95.95%と横に並べて優劣を決める数字ではない。特にExploitGymは、与えられた脆弱性とクラッシュ入力をコード実行へつなげる実用的なエクスプロイト生成を測る。全カテゴリの0は、このモデル単体を「汎用フロンティアモデルを超える万能なセキュリティモデル」と評価する根拠がないことを示す。

モデルカードは、曖昧または攻撃的に見える要求に安全策が介入しやすい慎重な初期調整も明記している。単体評価の低さには能力だけでなく安全調整が影響する可能性があり、原因を公開値だけで分離することはできない。すべての評価は、本番システム、公開インターネット、外部サービスから隔離した環境で実施された。³

導入評価では4つの条件をベンダーへ確認する¶

Project PerceptionはRed Team、Blue Team、Green Teamの専門エージェントを統制する。最初の提供シナリオでは、MAI-Cyber-1-Flashを組み込んだMDASHを使う。² 同時期には、Googleが7月21日（米国時間）にGemini 3.5 Flash Cyberを発表した。 AnthropicはMythos 5を少数のProject Glasswingパートナーへ提供している。 OpenAIも6月22日にDaybreakを拡張し、Codex SecurityとGPT-5.5-Cyberを含む防御基盤を示した。¹¹¹²¹³

製品名より先に、評価条件を揃える必要がある。

ベンダーはスコアの帰属先を示す。 モデル単体、モデルとツール、複数モデルを含む製品全体のどれかを分ける。
ベンダーは成功条件と試行回数を示す。 対象脆弱性の再現、任意クラッシュ、未知脆弱性の発見を混ぜない。
導入企業は自社コードで再現する。 検出数だけでなく、検証済み件数、誤検知、修正完了までの時間を測る。
導入企業は費用を成果単位で比べる。 トークン単価ではなく、検証済みの脆弱性1件を修正するまでの総費用を記録する。

MAI-Cyber-1-Flashの発表が示したのは、小型モデルが単独でMythos 5を破ったという単純な序列ではない。専門モデルを大量処理へ使い、難問だけをフロンティアモデルへ回し、ハーネスで反証と実行検証を重ねる設計が、Microsoftの評価環境で高い成功率と低い費用を両立したという結果である。