MAI-Cyber-1-Flash 技術ガイド

AIが作った脆弱性をAIが防御する — マイクロソフト初のサイバーセキュリティ専用モデルとその競争環境

項目	内容
作成基準日	2026年7月30日
対象モデル	MAI-Cyber-1-Flash (Microsoft AI)
発表日	2026年7月27日（月）、サンフランシスコ
発表者	Mustafa Suleyman（CEO, Microsoft AI）、Hayete Gallot（Microsoft Security）
一次情報源	Microsoft AI 公式発表文、MAI-Cyber-1-Flash モデルカード、MAI-Thinking-1 技術報告書
信頼度	B2（ベンダー自己申告、部分的クロス検証、独立検証未完了）
対象範囲	登場背景、開発コンセプト、アーキテクチャ、性能、競合プロジェクト（Codex Open Security 含む）、TCO、導入

1. 登場背景 — なぜ今サイバーセキュリティ専用モデルなのか

1.1 コードをAIが書き、脆弱性もAIが作る

2026年にソフトウェアセキュリティの性質が変わった理由は単純である。コード生産量が人間のレビュー能力を超えた。そしてその超過分の大半を生成モデルが作っている。

指標	数値	出典	信頼度
全コードのうちAI生成・AI補助の比率	42%（2027年に50%超の見通し）	Sonar 開発者調査 2026	B2
OWASP Top 10 脆弱性を含むAI生成コードの比率	45%（100以上のLLMをテスト）	Veracode	B1
XSS防御に失敗した生成サンプル	86%	Veracode	B1
ログインジェクションに脆弱な生成サンプル	88%	Veracode	B1
コードベースあたり平均脆弱性数の前年比増加率	+107%	Black Duck OSSRA 2026	B1
主要6 LLM・534サンプル中で確認された脆弱性比率	25%	独立研究（OWASP Top 10基準）	C2
AI生成コードに起因するエンタープライズ侵害の比率	約5件に1件	業界集計報道	C3

出典も方法論もばらつくが、方向は一つに収束する。欠陥の生産速度が人間のレビュー処理能力を構造的に追い越した。

1.2 攻撃側の探索コストが崩壊した

同じモデル能力は攻撃側にも与えられている。Anthropicは2026年4月、Project Glasswing を通じて Claude Mythos Preview を公開し、モデルが脆弱性の発見・エクスプロイト能力においてごく一部の最上位人間専門家を除く大半を上回ったと評価した。約50のパートナーがこのモデルで、世界的に重要なソフトウェアから 1万件以上のHigh/Critical脆弱性を発見。6月には15か国150超の組織（電力・水道・医療・通信・ハードウェア）へ拡大した。

Microsoft公式ブログの診断も同じである。攻撃者は「エクスプロイトをより速く生成し、キャンペーンをより大きく拡張し、前例のない効率で活動する」。つまり 欠陥を見つけるコストが崩壊した以上、断続的にスキャンして後でパッチを当てる従来型のセキュリティ運用モデルはすでに古い。

1.3 防御側のボトルネックはモデル可用性ではなく計算コスト

防御側が同等のモデルを入手できずに負けているのではない。エンタープライズのリポジトリ全体をフロンティアモデルで常時スキャンすればトークンコストが爆発する。 カバレッジが単一のフロンティアモデルに依存した瞬間、スキャン頻度と範囲が予算項目となり、その予算上限がそのままセキュリティギャップになる。

Suleymanの市場診断がこの点を突く。「人々はビジネス全体でトークンを使い切っている。だからどこであれコストを下げようとする巨大な反作用がある。」

1.4 ゆえに: AIが作った脆弱性をAIが防ぐ

2026年上半期に主要ベンダーが同時に到達した結論は同一である。人間速度の防御では、機械速度の攻撃と機械速度で生産される欠陥に対応できない。 Hayete Gallot の表現では、防御側は「攻撃者と同じ規模と速度でAIによりAIを防御」しなければならない。

   ① AIがコードを生産            ② AIが脆弱性を発見
   (42%+ / 欠陥率45%)   ─────▶  (Glasswing 1万件+, Codex Security 1.1万件+)
            ▲                              │
            │                              ▼
   ④ 検証とパッチがコードへ戻る    ③ AIがパッチし証明する
      (ライブRLループ)      ◀─────  (MDASH Prove段階 / グリーンチーム)

MAI-Cyber-1-Flash は、この循環の②③段階を フロンティアモデルより遥かに低い単価で 常時稼働させるために設計されたモデルである。

1.5 発表パッケージ全体

構成要素	性格	状態
MAI-Cyber-1-Flash	サイバーセキュリティ専用LLM	Azure AI Foundry プライベートプレビュー（MDASH承認顧客限定）
MDASH	脆弱性識別・修正ハーネス	2026年5月12日初公開、運用中
Project Perception	エージェンティックセキュリティシステム（R/B/Gチーム）	2026年8月3日 Defender内パブリックプレビュー
FORGE Lab	Frontier Offensive Research and Generative Exploration Lab	新設、Taesoo Kim（元Team Atlantaリーダー）主導

Suleymanのポジショニングは明確である。「世界最高水準の性能を半分のコストで。」 この発表の本質は性能そのものよりも、性能対コスト（ルーティング）にある。

2. 開発コンセプト

2.1 三つの軸: Model. Data. Harness.

軸	Microsoftの主張
Model	社内で一から高品質データで学習したコンパクトなコード中心セキュリティモデル。汎用フロンティアモデルの縮小版ではなく、セキュリティ作業向けにキャリブレーションされたワークホース
Data	最も深い優位性。アイデンティティ・エンドポイント・クラウド・ネットワーク全体で毎日100兆以上のセキュリティシグナル、MSRC脆弱性処理履歴、160万社の顧客の運用インサイト。「誰もこの歴史を人工的に作れない」
Harness	業界最高のセキュリティ専門家がチューニングした100+エージェントシステム

2.2 サイバーセキュリティは「ライブ強化学習ループ」

サイバーセキュリティは単にデータが豊富な領域ではなく、生きたRLループである。毎日、防御者が脅威を調査し、アラートをトリアージし、脆弱性を修正し、結果から学習する。Microsoftはこのループを端から端まで観測していると主張する — 何がエクスプロイト可能で、何が封じ込められ、何がブロックされ、何が実際に効いたか。行動と結果を接続できればデータ以上のものを得るという論理である。

2.3 防御専用（defense-only）設計

CTIの観点で最も重要な設計事実。モデルカードは軽量ターミナルハーネス基準の単独性能を次のように報告する。

ベンチマーク	MAI-Cyber-1-Flash	測定対象
CVEBench	0.314	CVE関連推論
CyberSecEval4 — Threat Intelligence	0.553	脅威インテリジェンス解釈
CyberSecEval4 — Malware Analysis	0.330	マルウェア解析
CRSBench	0.651 (POV=1200)	サイバー推論システム
ExploitGym — Kernel	0	エクスプロイト生成
ExploitGym — Userspace	0	エクスプロイト生成
ExploitGym — Browser	0	エクスプロイト生成

全カテゴリ0点は欠陥ではなく意図された結果である。Microsoftはモデルが防御作業（バグパッチなど）を学習し、攻撃作業（マルウェア配布など）は学習していないと明示した。

実務的含意: エクスプロイトを生成できないまま95.95%の発見パイプラインを駆動する5B-アクティブモデルは、攻撃能力流出リスクをアーキテクチャレベルで低減したディフェンダー専用アーティファクトである。dual-useリスクを学習段階で遮断し、それを測定可能な形で公開した点が核心である。

この選択は競合と正反対でもある。Google CodeMender は逆に PoCエクスプロイトを自律生成し顧客管理のサンドボックスで実行して誤検出を減らす。証明能力を取るか、dual-useリスクを遮断するかのトレードオフであり、Microsoftは後者を選んで証明（Prove）をハーネス層で解決した。

2.4 「最大のモデルではなく、最も賢くルーティングするシステム」

Microsoft副社長 Taesoo Kim の表現が本文書全体の要約でもある。

「モデルは一つの入力であり、それを取り巻くシステムが製品である。」

Microsoftは モデル可用性ではなく計算コストが防御者のスキャン範囲を制約する と主張する。答えはより大きなモデルではなく、難易度でモデルを差し替えるルーターである。

2.5 事業的背景: OpenAI依存度の縮小

MAI-Cyber-1-Flash は Build 2026（6月）で発表された社内7モデルファミリーの延長線上にある。ただしヘッドラインスコアを作った構成は依然GPT-5.4に依存する。このモデルはMDASHのOpenAI依存を除去したのではなく縮小した。

3. アーキテクチャおよびモデルスペック

3.1 モデルカード基準公式スペック

仕様	詳細
アーキテクチャ	Self-attention + Sparse Mixture-of-Experts (MoE) Transformer
総パラメータ	1,370億 (137B)
アクティブパラメータ	50億 (5B) — トークンあたり活性化
コンテキストウィンドウ	256,000トークン
モダリティ	テキスト専用 (text-in / text-out)
直接ベースモデル	MAI-Code-1-Flash（GitHub Copilot・VS Code内蔵の軽量エージェンティックコーディングモデル）
系統	MAI-Base-1 → MAI-Thinking-1（中間学習チェックポイント）→ MAI-Code-1-Flash → MAI-Cyber-1-Flash
学習データ規模	非公開
配布形態	MDASH内部専用。スタンドアロンAPIなし

3.2 系統上の上位モデル（参考）

モデル	総パラメータ	アクティブ	備考
MAI-Base-1	約1兆	350億	事前学習ベース。30兆トークン、合成データ排除、第三者モデル蒸留なし
MAI-Thinking-1	約1兆 (~1T)	350億 (35B)	Build 2026発表。512エキスパート中トークンあたり8個活性。256kコンテキスト
MAI-Code-1-Flash	非公開	50億 (5B)	軽量エージェンティックコーディングモデル
MAI-Cyber-1-Flash	1,370億 (137B)	50億 (5B)	本文書の対象

アクティブパラメータ5Bのみの超軽量ルーティングワークホースとして設計されており、これが後述のTCO論理の物理的根拠となる。なお30兆トークンはMAI-Base-1の事前学習規模であり、MAI-Cyber-1-Flash自体の学習トークン数は公開されていない。

3.3 MDASHハーネス構造

5段階パイプライン

段階	役割
Prepare	対象コードベースおよびコンテキストの準備
Scan	脆弱性候補の探索
Validate	候補検証および誤検出除去
Dedupe	重複findingsの統合
Prove	実際のトリガー入力実行による証明（C/C++対象はASan使用）

Auditorエージェント: findingsのフラグ付け
Debaterエージェント: エクスプロイト可能性を議論。エージェント間の不一致自体をシグナルとして使用
合計100以上の特化エージェント、複数のフロンティア・蒸留モデルを混用

開発組織および実績

項目	内容
開発組織	Microsoft Autonomous Code Security (ACS) チーム
中核人材	DARPA AI Cyber Challenge (AIxCC) 優勝チーム Team Atlanta 出身多数
2026年5月実績	Windowsネットワーキング・認証スタックで 16件のCVE発見（Critical RCE 4件含む）
回顧検証	clfs.sys 5年分MSRCケース28件中 96%再現、tcpip.sys 7件中 100%再現

3.4 90/10ルーティングアーキテクチャ

              ┌─────────────────────────────────────┐
  セキュリティ │           MDASH ハーネス             │
   作業  ─────▶│ (ルーター + 100+エージェント + 5段階) │
              └──────────┬────────────────┬─────────┘
                         │                │
                   最大90%              約10%
                         │                │
                         ▼                ▼
            MAI-Cyber-1-Flash        GPT-5.4
            (137B/5B, 低コスト)     (約10倍規模)

Suleymanの説明（2026年7月27日）: 「MDASH内でMAI-Cyber-1-Flashが最大90%のクエリを処理し、脆弱性を検出・パッチし、修正が実際に動作したかまで確認する。残りの10%はより大きなモデルであるGPT-5.4に渡す。」GPT-5.4はMAI-Cyber-1-Flashより約10倍大きい。

エスカレーション先に最新のGPT-5.6ではなくGPT-5.4を使う理由もコストである。Suleyman:「GPT-5.6は高い。GPT-5.4はコスト対比で非常に良い。」

用語注意: 90%と80%は別の指標である。90%はMAI-Cyber-1-Flashが処理可能な作業比率（設計目標、"up to 90%"）、80%はMDASH内で置き換えられた既存モデルの比率。

3.5 安全性およびエンタープライズ統制

レイヤー	統制項目
モデル学習	Security-firstキャリブレーション、攻撃作業は未学習
評価	Microsoft AI Red Team評価、自動化および専門家主導の敵対的訓練、第三者独立評価（機関非公開）
配備	Role-Based Controls、テナント分離、暗号化、監査証跡
実行環境	インターネットアクセスのないサンドボックス実行環境

4. 性能

4.1 CyberGymが測定するもの・しないもの

属性	内容
タスク数	1,507件の実脆弱性再現タスク
出典プロジェクト	188の OSS-Fuzz プロジェクト
Microsoft評価構成	Level 1（基本設定）
Level 1定義	脆弱なソースコードと高レベルの脆弱性説明を与え、動作するPoCを作れるか確認
測定しないもの	ブラインド脆弱性発見能力、生成パッチの正確性

最後の行が核心である。実務で最も重要な二つの能力がヘッドライン数値に含まれていない。

4.2 発表時点の比較（2026年7月27日）

順位	システム	CyberGym Level 1	提供元
1	MDASH + MAI-Cyber-1-Flash + GPT-5.4	95.95%	Microsoft
2	GPT-5.5 Cyber	85.6%	OpenAI
3	Mythos 5	83.8%	Anthropic
4	GPT-5.6 Sol	83.6%	OpenAI
5	Gemini 3.5 Flash Cyber (CodeMender内)	83.2%	Google

二つの留意点: ①95.95%はモデル単独ではなくMDASHシステムのスコアであり、そのシステムは競合モデル（GPT-5.4）をエスカレーション経路に含む。②表の全数値はMicrosoftが自社インフラで実施した測定であり、各ベンダーがリーダーボードに提出した値ではない。

4.3 MDASHスコアの推移を時系列で読んではいけない理由

時点	構成	スコア	備考
2026年5月12日	MDASH、GAモデルのみ	88.45%	当時の公開リーダーボード1位
2026年6月	MDASH	96.55%	全クラッシュを集計した基準。対象外脆弱性を含む
2026年7月27日	MDASH + MAI-Cyber-1-Flash + GPT-5.4	95.95%	判定基準の明示なし

モデルカードが明示した有効な比較は一つだけである — 「既存MDASHモデルの80%を置き換えて88.4% → 95.95%」。

4.4 独立検証の状況

検証項目	状態
CyberGym公開リーダーボード掲載	未掲載（2026年7月28日確認時点）。5月12日の88.4%が最新記録
リリース前の独立評価機関への提供	未提供（NYT報道）
第三者評価	Microsoftは実施したと主張。機関名非公開
コスト削減の再現可能性	不可能。トークン使用量、呼出量、レイテンシ、タスクミックス、計算配分すべて非公開

4.5 ベンダースコアと独立測定の乖離

2026年7月21日、Sakana AIがオーケストレーションモデル Fugu-Cyber を公開し CyberGym 86.9%、CTI-REALM 72.1% を報告した。Microsoftの比較群4システム（83.2〜85.6%）をすべて上回るが、Microsoftの比較チャートには含まれていない。

同時に技術メディアは、CyberGym制作陣がICLR 2026で報告した上位モデル組み合わせの成績が約20%水準だった点を指摘し、ベンダー自己申告値との乖離を問題視した。評価構成（説明の有無、試行回数、判定基準）が異なれば、同じベンチマーク名の下でまったく異なる数値が出る。

結論: このカテゴリではベンダー発表のベンチマークスコアをベンダー間の順位比較に使えない。

4.6 ベンチマークより信頼できる証拠

証拠	内容	なぜ強いか
Windows CVE 16件発見（2026年5月）	Critical RCE 4件含む	実プロダクションコードベース、実際のCVE発行
clfs.sys 回顧検証	5年分MSRCケース28件中96%再現	合成タスクではなく実際の事件履歴
tcpip.sys 回顧検証	7件中100%	同上

5. Project Perception

5.1 3色エージェント構造

チーム	役割
レッドチーム	攻撃者視点での侵害経路探索。偵察、攻撃経路評価、脆弱性スキャン
ブルーチーム	シグナル調査、コンテキスト推論、有意なリスク識別と優先順位付け。新規検知ルール生成
グリーンチーム	修正措置の実行、パッチ作成、環境ハードニング。GitHub連携PR生成可能

三チームが閉ループを成し、互いの結果を入力とする構造が §2.2 の「ライブRLループ」主張を製品化した形である。

5.2 運用特性

項目	内容
提供位置	Microsoft Defender内部（現在Defender専用）
パブリックプレビュー	2026年8月3日、全世界
初期対象	MDASHをすでにテスト中のビジネス顧客中心
初期デモ範囲	Webアプリケーションのハードニング
インターフェース	Defenderワークフロー + MCPサーバー（CLI実行可能）+ GitHub PR
ヒューマン・イン・ザ・ループ	高影響の措置は人間の承認が必須
課金	従量制、SCU単位

5.3 エージェント・MCP経由の権限昇格リスク

MCPは2025〜2026年にプロンプトインジェクション、ツール権限過多、サーバー信頼境界の問題で多数の脆弱性事例が報告されたプロトコルである。セキュリティ自動化エージェントがMCP経由でCLI実行権限を持つ構造は、それ自体が権限昇格経路になりうる。

これが理論的懸念でないことは競合製品ですでに示された。2026年3月、OpenAI Codexで悪意ある名前のGitHubブランチがタスクセットアップ中にコマンドを注入し、GitHub認証トークンを窃取できる脆弱性が発見・修正された。セキュリティエージェント自身がサプライチェーン侵入経路になるシナリオである。

確認項目: MCPサーバーの認証・認可モデルとトークンスコープ／グリーンチームのコード修正権限範囲と承認ゲートの位置／GitHub PR生成権限が及ぶリポジトリ・ブランチ／エージェントが処理する外部入力（脅威インテリフィード、イシューコメント、ブランチ名等）のインジェクション防御／サンドボックス分離の監査方法。

6. 競合プロジェクト

6.1 ゲーティングされた商用サイバー専用モデル

モデル/システム	提供元	CyberGym	アクセス方式
MAI-Cyber-1-Flash (MDASH+GPT-5.4)	Microsoft	95.95%	MDASH承認顧客、Azure AI Foundryプライベートプレビュー
Fugu-Cyber	Sakana AI	86.9%	オーケストレーションモデル。2026年7月21日公開
GPT-5.5 Cyber	OpenAI	85.6%	限定提供
Mythos 5	Anthropic	83.8%	Glasswingプログラム、信頼パートナー限定
GPT-5.6 Sol	OpenAI	83.6%	Daybreakプログラム（2026年5月開始）、政府承認顧客限定
Gemini 3.5 Flash Cyber	Google	83.2%	CodeMender内提供、招待制

主要競合プロジェクト詳細

プロジェクト	性格	特徴的な設計
Anthropic Project Glasswing	業界共同イニシアチブ	2026年4月Mythos Preview公開 → 約50パートナーが1万件以上のHigh/Critical発見 → 6月に15か国150超の組織へ拡大。Mythos 5はFable 5と同一の基盤モデルで一部の安全装置を解除したバージョン
Google CodeMender	Gemini Enterpriseエージェント	Gemini 3.5 Flash Cyber基盤。PoCエクスプロイトを自律生成し顧客管理サンドボックスで実行して誤検出を除去 → パッチ作成 → model-as-judgeで副作用検証 → diffで開発者承認。C/C++・Go・Java・Python・Ruby・Rust・TypeScript対応
OpenAI Daybreak	政府・重要インフラ向けプログラム	2026年5月開始、GPT-5.6 Sol提供
OpenAI Codex Security	開発者向けAppSecエージェント	§6.2で詳述。CLI/SDKのオープンソース化（Apache-2.0） + スキャナーエンジンのゲーティング
Sakana AI Fugu-Cyber	オーケストレーションモデル	単一モデルのように見えるが、実際は特化エージェントプールを動的ルーティングするマルチエージェントシステム。MDASHと同一の設計思想
NVIDIA Open Secure AI Alliance	業界標準イニシアチブ	Microsoft参加

上位2システム（MDASH、Fugu-Cyber）がいずれもオーケストレーションシステムである点が注目に値する。

6.2 Codex Open Security — 逆方向の賭け

MAI-Cyber-1-Flash発表の2日後、2026年7月29日、OpenAIがCodex SecurityのCLIとTypeScript SDKを Apache-2.0でオープンソース化した。同じ問題を正反対の配布戦略で攻略した事例である。

系譜と実績

時点	内容
2026年3月	内部コードネーム Aardvark としてリサーチプレビュー開始
2026年3月	Codex自体でGitHubブランチ名経由のコマンド注入 → 認証トークン窃取の脆弱性を発見・修正
2026年4月	OpenAI、3,000件以上のCritical脆弱性修正を報告
ベータ累計	Critical 792件 / High 10,561件発見、120万件以上のコミットをスキャン。GnuPG、GnuTLS、GOGS、Thorium、libssh、PHP、Chromium等
2026年6月	Codex週間ユーザー500万人到達
2026年7月29日	CLI + TypeScript SDK オープンソース公開（Apache-2.0）

何が開き、何が閉じているか

構成要素	状態
CLI (`@openai/codex-security`)	オープンソース、Apache-2.0。npm配布
TypeScript SDK	オープンソース。プログラマティック統合が可能
スキャナーエンジン（モデル）	ゲーティング。承認顧客向け限定ベータ
認証	ChatGPTログインまたはAPIキー（`OPENAI_API_KEY` / `CODEX_API_KEY`）。CI環境はAPIキー推奨
モデル選択	`gpt-5.6-terra` 等の変種を指定可能、effortレベル調整可
要求環境	Node.js 22.13.0+ (22.x/24.x/26.x)、Python 3.10+
GitHub反応	公開直後約1.5k stars → 2026年7月30日時点 5.2k stars / 325 forks

The Next Web の要約がこの構造を的確に表す — 「開いた配管に閉じたエンジンをボルト留めしたもの」（open plumbing bolted to a gated engine）。

動作方式: Codex Securityは従来型のパターンマッチングスキャナーではなく、セキュリティ研究者のように動作するよう設計されている。コードを読み、テストを実行し、現実的な攻撃経路を探索し、チームが通常のワークフローでレビューできる形でパッチを提案する。CLIはリポジトリスキャン、実行間のfindings比較・追跡、修正検証、CI/CD統合、複数リポジトリの一括スキャンをサポートする。

MAI-Cyber-1-Flashとの対比

軸	MAI-Cyber-1-Flash	Codex Security
開放範囲	全面非公開	CLI・SDKオープンソース（Apache-2.0）、エンジンはゲーティング
参入経路	MDASH承認 → Azure AI Foundryプライベートプレビュー	npmインストール + アカウント認証（エンジンは承認必要）
一次ユーザー	エンタープライズセキュリティ組織（SOC）	開発者 / AppSecエンジニア
統合ポイント	Defenderコンソール、MCP、GitHub PR	CLI、CI/CD、PRレビュー、TypeScript SDK
dual-use統制	学習段階で遮断（ExploitGym 0/0/0）	エンジンアクセスのゲーティングで統制
監査可能性	ベンダー提供の監査ログ	オーケストレーションコード全体が監査可能、モデルは不可
コスト構造	SCU従量	APIトークン課金
競合対象	Defender・SIEM予算	Snyk、Semgrep、Veracode、GitHub Advanced Security

戦略的含意: 両社は同じ市場を異なるレイヤーで攻略している。MicrosoftはSOCのマネージドサービス予算を、OpenAIは開発者ツールチェーンのAppSec予算を狙う。オープンソース化は標準先取りの手段であり、CLIがCI/CDパイプラインの既定値になればエンジンをゲーティングしたままでも市場は確保される。

導入検討時: Codex Securityはオープンソースだが セルフホスティングの代替ではない。 エンジンアクセスがなければCLIだけではスキャンが成立しない。「Apache-2.0」というラベルをオンプレミス可能性と誤読してはならない。

6.3 従来型AppSecツール・オープンウェイト代替との比較

項目	MAI-Cyber-1-Flash	オープンソース・従来型代替（CodeQL、Semgrep、SecBERT系、オープンウェイトコーディングモデル）
ライセンス	非公開、オープンウェイトではない	オープン
検知方式	コンテキスト推論 + 実行証明	主にルール・パターンマッチング
学習データ	数十年の実セキュリティ事件・修復記録（複製不可）	公開データ
ハーネス	100+エージェント、5段階、専門家チューニング	自前構築が必要
オンプレミス自己ホスティング	不可	可能
監査可能性	ベンダー提供の監査ログ	フルスタック監査可能
コスト構造	SCU従量（変動）	インフラコスト（固定）
dual-useリスク	攻撃能力を未学習（ExploitGym 0）	モデルにより異なる、統制困難

カテゴリ確認: MAI-Cyber-1-Flashはオープンウェイト生態系の競合ではなく、エンタープライズ・マネージドセキュリティサービスカテゴリの製品である。実務ではルールベーススキャナーを一次フィルタに置き、LLMパイプラインを深層分析に配置する組み合わせが現実的である。

6.4 業界の同時的動き

時点	事業者	内容
2026年3月	OpenAI	Codex Securityリサーチプレビュー（コードネームAardvark）
2026年4月	Anthropic	Project Glasswing開始、Mythos Preview公開
2026年5月	OpenAI	Daybreakプログラム開始
2026年5月12日	Microsoft	MDASH初公開、CyberGym 88.45%でリーダーボード1位
2026年6月	Anthropic / Microsoft	Mythos 5・Fable 5公開、Glasswing拡大 / Build 2026、社内7モデルファミリー
2026年7月初	Google Cloud	CodeMenderリリース
2026年7月21日	Google / Sakana AI	Gemini Flash 3種（Cyber含む）/ Fugu-Cyber公開
2026年7月27日	Microsoft	MAI-Cyber-1-Flash + Project Perception + FORGE Lab
2026年7月29日	OpenAI	Codex Security CLI・SDKオープンソース化（Apache-2.0）
同時期	NVIDIA	Open Secure AI Alliance発足（Microsoft参加）

4か月の間に主要フロンティアラボがすべてサイバーセキュリティ専用製品を出した。共通認識は二つ — サイバーセキュリティはマルチモデル・マルチエージェントの問題であり、コストがカバレッジを決める。

7. TCO（総所有コスト）

7.1 コスト構造

項目	詳細
削減主張	従来MDASH最高構成（GPT-5.4 + GPT-5.4 mini + GPT-5.3 Codex）対比約50%削減
削減メカニズム	基本ルーティングを低コスト専用モデルに置き、超過難易度のみエスカレーション
Perception課金	従量制pay-as-you-go、Security Compute Unit (SCU) 単位測定
SCU単価	非公開。エージェント種別でSCU消費率が異なる

7.2 TCO上の利点

トークンコスト制約の解消: 5B-アクティブモデルを既定値にすることでスキャン頻度の上限が上がる
スキャン周期の短縮: 月次パッチサイクルから常時運用へ
共有コンテキストレイヤー: 各エージェントが生シグナルを一から収集しないため、トークンコストとレイテンシが同時に下がる
人件費削減: トリアージ・調査・修正ワークフローをエージェントが分担

7.3 TCO上のリスク

リスク	内容
検証不可能な削減率	50%の根拠がすべて非公開。他システム対比で正規化不可
比較基準が自社構成	50%は「Microsoftの以前の構成対比」。競合対比の絶対的コスト優位を意味しない
SCU予算の変動性	従量制のためスキャン範囲がそのまま予算項目になる
エスカレーション比率の変動	90/10は設計目標値。実コードベースの難易度分布が悪ければ削減率が損なわれる
ベンチマークと実環境の乖離	実コードベースは不完全な文書、古い依存関係、累積したパッチ履歴を持つ
誤検出処理の人件費	findings検討の負担はSCU料金に含まれない

実務推奨: プレビュー評価ではCyberGymスコアより、自社の脆弱性バックログに対するR/B/Gループの挙動と実際のエスカレーション比率が10%に収束するかを測定すべきである。後者がTCO全体を決める。

8. 導入および開始

8.1 現在のアクセス可能性（2026年7月30日時点）

対象	アクセス条件	状態
MAI-Cyber-1-Flashモデル	承認されたMDASH顧客、Azure AI Foundryプライベートプレビュー	ゲーティング
スタンドアロンAPI	存在しない	不可
汎用アプリケーション統合	不可 — MDASH内部専用	不可
MDASH	Microsoft Security営業チャネル経由	既存顧客
Project Perception	Microsoft Defender内パブリックプレビュー	2026年8月3日

Azureサブスクリプションや M365/Defender ライセンスだけでは足りない。実質的な対象はすでにMicrosoft DefenderおよびMDASHのトラックに入っている組織である。

8.2 パイロットで事前定義すべき指標

測定項目	なぜ重要か
実際のエスカレーション比率	90/10が維持されなければ50%削減の論理が崩壊
SCU消費量対findings数	単位発見あたりコストの算出
誤検出率（ブルーチームのトリアージ後）	ベンチマークが測定しない指標
グリーンチームのパッチ正確度	CyberGym Level 1が測定しない指標
自社バックログ対比のカバレッジ	合成ベンチマークとライブコードベースの乖離確認
承認ゲート通過時間	ヒューマン・イン・ザ・ループが実際のボトルネックになるか

ガバナンス文書化: エージェント権限マトリクス（RBACマッピング）、自動修正の許容・禁止範囲、監査ログの保存と検討手順、テナント分離の検証方法、事故時のロールバック手順。

8.3 導入判断基準

条件	推奨
すでにDefender中心スタック + 大規模な自社コードベース	プレビュー評価の価値が高い
マルチクラウド / 非Microsoftセキュリティスタック	現段階では実益が低い（Defender専用）。CodeMenderまたはCodex Securityを検討
開発者ツールチェーン・CI/CDから始めたい	Codex Security CLIが最も参入障壁が低い（§6.2）
オンプレミス自己ホスティング要件	該当なし。カテゴリ全体が未充足
規制上のモデル監査可能性要件	ベンダー提供の監査ログで充足可能か事前検討が必要
小規模コードベース	SCU従量課金の利点が限定的

9. 総合評価

9.1 信頼度別整理

信頼度	項目
確認済み（モデルカード・公式文書記載）	137B/5B/256k MoEスペック、MAI-Code-1-Flashファインチューニング、テキスト専用、MDASH専用配布、ExploitGym 0/0/0、CVEBench等の単独スコア、5段階パイプライン、Perception 8月3日プレビュー、SCU課金方式
ベンダー主張（部分的クロス検証）	CyberGym 95.95%、競合83.2〜85.6%、約50%コスト削減、最大90%タスク処理、100兆+日次シグナル、顧客160万社、第三者独立評価の実施
検証不可 / 非公開	学習トークン規模、SCU単価、50%削減の算出根拠、第三者評価機関の身元、実環境の誤検出率、パッチ正確度
反証または不一致	CyberGym公開リーダーボード未掲載（7/28時点）、リリース前の独立テスター未提供、ベンダー数値とベンチマーク制作陣の測定値との大きな乖離

9.2 説得力のある部分

ルーティングアーキテクチャは実質的なエンジニアリング上の答えである。 フロンティアモデル単独使用はスキャン頻度をコストで制約し、その制約がそのままセキュリティギャップになるという診断は正確である。Sakana Fugu-Cyberが独立に同じ結論（オーケストレーション優先）へ到達した点がこの方向性の傍証となる。

防御専用設計を測定可能な形で公表した点も評価できる。 ExploitGym全カテゴリ0点は、dual-use問題を学習段階で遮断したという検証可能な主張である。

運用実績がベンチマークより強い。 clfs.sys 28件中96%、tcpip.sys 7件中100%の再現、5月の実CVE 16件発見は合成ベンチマークより実務的に有意である。

9.3 受け入れがたい部分

95.95%はモデルスコアではなくシステムスコアであり、そのシステムは競合モデル（GPT-5.4）に依存する。 フロンティア競合に勝ったという物語と、その競合のモデルを内部で使っているという事実が同じ発表の中にある。

CyberGym Level 1は「説明が与えられた既知脆弱性の再現」を測定する。 ブラインド発見もパッチ正確性も測定しない。

リーダーボード未掲載とリリース前の独立テスター未提供は、併せて見ると問題である。

50%削減は再現不可能で、比較対象も自社の以前の構成である。

9.4 結論

この発表はモデル発表ではなくシステムアーキテクチャ発表として読むのが正確である。Taesoo Kimの「モデルは一つの入力であり、それを取り巻くシステムが製品である」が発表全体の正直な要約である。

より広く見れば、2026年上半期4か月の発表ラッシュ全体が一つの命題に収束する。AIがコードを書く速度で欠陥が生産されるため、防御も同じ速度で自動化されねばならず、その自動化の制約はモデル能力ではなく単価である。 Microsoftは専用小型モデル+ルーティングで、OpenAIは開発者ツールチェーンのオープンソース化で、GoogleはエクスプロイトのDIY検証で、Anthropicは最上位能力の統制された配布でそれぞれ答えた。

導入判断の根拠にできるのは二つである。 第一にMicrosoftが自社Windowsコードベースで実際にCVEを発見したという運用実績。第二にルーティングでスキャン単価を下げるという構造的論理。この二つはベンチマークなしでも検証可能であり、プレビューのパイロットで自社環境で直接確認できる。

10. 参考資料

10.1 一次情報源 — Microsoft

資料	リンク
MAI-Cyber-1-Flash公式発表文	https://microsoft.ai/news/introducing-mai-cyber-1-flash-inside-mdash/
MAI-Cyber-1-Flashモデルカード (PDF)	https://microsoft.ai/pdf/MAI-Cyber-1-Flash-Model-Card.pdf
MAI-Thinking-1技術報告書 (PDF)	https://microsoft.ai/pdf/mai-thinking-1.pdf
Project Perception製品ページ	https://www.microsoft.com/en-us/security/business/ai-powered-cybersecurity/project-perception-agentic-system
Rethinking security for the age of AI	https://blogs.microsoft.com/blog/2026/07/27/rethinking-security-for-the-age-of-ai/
MDASH初公開 (2026-05-12)	https://www.microsoft.com/en-us/security/blog/2026/05/12/defense-at-ai-speed-microsofts-new-multi-model-agentic-security-system-tops-leading-industry-benchmark/

10.2 一次情報源 — 競合プロジェクト

資料	リンク
OpenAI Codex Security	https://openai.com/index/codex-security-now-in-research-preview/
openai/codex-security (GitHub, Apache-2.0)	https://github.com/openai/codex-security
Anthropic Project Glasswing	https://www.anthropic.com/glasswing
Claude Fable 5 / Mythos 5	https://www.anthropic.com/news/claude-fable-5-mythos-5
Google CodeMender	https://cloud.google.com/security/codemender
CyberGymベンチマーク・リーダーボード	https://www.cybergym.io/cybergym/
ExploitGym	https://www.cybergym.io/exploitgym/

10.3 二次情報源（クロス検証用）

The Hacker News、MarkTechPost、The Register、VentureBeat、GeekWire、SiliconANGLE、Forrester、Infosecurity Magazine、Directions on Microsoft、Constellation Research、The Next Web、Cyber Security News、Help Net Security、Cybersecurity Dive、TechCrunch、SecurityWeek、Veracode / Black Duck OSSRA 2026 / Sonar、Tech Times

10.4 利用上の注意

本文書の性能およびコスト数値は大半がベンダー自己申告に基づく。MAI-Cyber-1-Flashは独立検証が完了しておらず、CyberGym公開リーダーボードにも未反映である。競合製品の数値も各ベンダーの自社測定であり、同一条件の比較ではない。導入意思決定に引用する際は出典の性格を併記されたい。

Project Perceptionのパブリックプレビュー（2026年8月3日）以降に実使用データが出れば、性能・TCO項目は再検討が必要である。