MicrosoftのサイバーAI基盤、CyberGymでMythosやGPT-5.5-Cyber上回る95.95％―従来構成比でコスト半減

Microsoftは8月3日、サイバーセキュリティに特化した同社初のAIモデル「MAI-Cyber-1-Flash」を搭載するセキュリティプラットフォーム「Project Perception」のパブリックプレビューを開始した。新モデルを組み込んだMDASHは、スパースMoEアーキテクチャにより、従来構成の約半分のコストで競合システムを上回るベンチマークスコアを記録した。ただし、現段階では自律的なパッチ適用には人間の承認が必要であり、利用するには事前審査を通過しなければならない。

■Project Perceptionの概要と現在の機能

Microsoftのエージェンティックセキュリティプラットフォーム「Project Perception」が8月3日にパブリックプレビューを開始し、同社初となるサイバーセキュリティ特化型AIモデル「MAI-Cyber-1-Flash」が導入された。従来のMDASH構成と比べて約半分というコスト上の優位性は、単なる価格設定によるものではない。MAI-Cyber-1-Flashのモデルカードによると、これはスパース混合エキスパート（MoE）アーキテクチャの構造に由来する。同モデルは、保有する1370億パラメータのうち、個々のセキュリティクエリで50億パラメータのみを稼働させることで、推論に必要な計算量を高密度なフロンティアモデルの一部に抑えている。この設計上のトレードオフにより、フロンティアAIを利用したセキュリティツールをコスト面で導入できなかった企業のセキュリティチームでも、本番環境規模の継続的な脆弱性スキャンを経済的に実行できるようになる。

Project Perceptionは、3種類の専門AIエージェントを連携させるプラットフォームである。攻撃者の行動をシミュレートして悪用可能な経路を探るレッドエージェント、検出結果のうち実際のリスクに当たるものを選別するブルーエージェント、ソフトウェアパッチを作成して適用するグリーンエージェントだ。当初の対象は、Microsoftのマルチエージェント型スキャンハーネス「MDASH」によるソフトウェア脆弱性管理である。MDASHは、5段階のパイプラインにわたって100を超えるエージェントを協調動作させる。

現時点でProject Perceptionが行わないことが1つある。自律的な修復だ。Futurum Researchによる同プラットフォームの分析では、マシンの隔離など、元に戻せる処置は2026年後半に追加される予定だという。一方、本番ホストへのパッチ適用など、リスクの高い操作では引き続き人間の承認が必須となる。MicrosoftでAIセキュリティ担当コーポレートバイスプレジデントを務めるDavid Weston氏もこの点を明確に認め、本番環境での信頼を築きながら、より大きな自律性を認めてもらえるだけの実績を積む必要があると述べている。グリーンエージェントはパッチを生成して検証するが、実際にマージするには人間のセキュリティエンジニアによる承認が必要だ。

一般に開放されたサービスではない。MAI-Cyber-1-Flashは、Microsoftの既存の顧客審査とGPU割り当てのプロセスを利用し、Microsoft Azure AI Foundryを通じて提供される。組織はMDASH経由で申請し、審査を通過した上でプレビューに参加する必要がある。Microsoft AIのCEOを務めるMustafa Suleyman氏は、TechBrieflyが報じた発言の中で、提供規模について「来週、いきなり数千になるわけではない。まず数十、次に数百、そして数千へと拡大していく」と説明している。

■コスト半減の理由：スパースMoEの仕組み

コストに関する主張は詳しく検討する価値がある。背後にあるアーキテクチャによって、この優位性が本番環境規模でも成り立つかどうかが決まるためだ。

MAI-Cyber-1-Flashは、総パラメータ数1370億、稼働パラメータ数50億のスパース混合エキスパート（MoE）型トランスフォーマーである。この2つの数値が推論コストを左右する。スパースMoEモデルでは、ゲーティングネットワークが入力ごとに、専門化されたサブネットワーク、すなわち「エキスパート」の一部を選んで処理を振り分ける。実際に計算するのは、選択されたエキスパートだけだ。そのためMAI-Cyber-1-Flashは、1370億パラメータモデルとしての表現能力を持ちながら、推論時のトークン当たり計算量を、より小さなモデルと同程度に抑えられる。1時間に数千件のコード関連クエリを処理するセキュリティハーネスでは、この計算量の違いにより、フロンティアモデルを全面的に使う構成では経済的に難しかった継続的なスキャンが可能になる。

ただし、重要な注意点がある。スパースMoEは計算コストを削減するが、メモリ使用量を同じ割合で減らすわけではない。IBMによるMoEアーキテクチャの解説が詳述しているように、個々のクエリで稼働するのは全体の3.6％にすぎないものの、1370億パラメータすべてをハードウェアのメモリに読み込む必要がある。Project Perceptionを評価する企業は、この点を踏まえてインフラを計画すべきだ。

このモデルは「MAI-Code-1-Flash」をサイバーセキュリティ向けにファインチューニングしたもので、MAI-Code-1-Flash自体は「MAI-Thinking-1」の中間学習チェックポイントから派生している。つまり、MAI-Cyber-1-Flashは基盤となる推論モデルから2段階を経て開発されたことになる。さらに、Microsoft Security Response Center（MSRC）が蓄積してきた数十年分の脆弱性対応データから成るMicrosoft独自のデータセットを用いて、セキュリティに特化した学習が重ねられている。

モデル間の振り分けが、コスト削減を実現する実際の仕組みである。MAI-Cyber-1-Flashは、定型的なスキャン、重複排除、初期段階のトリアージなど、MDASHのタスクの最大90％を処理する。一方、GPT-5.4は、Weston氏がAxiosに「極めて難しい」と説明した残り10％のクエリに用いられる。具体的には、複雑なエクスプロイトチェーンの分析や、概念実証コードの作成などだ。GPT-5.4、GPT-5.4 mini、GPT-5.3 Codexを利用していた従来のMDASH構成と比較すると、MAI-Cyber-1-Flashを組み込んだ新構成では、従来使っていたモデルの80％を置き換えながら、CyberGymのベンチマーク結果を88.4％から95.95％に引き上げた。

■ベンチマークスコアが測定するもの、しないもの

MAI-Cyber-1-FlashとGPT-5.4を組み合わせて動作させたMDASHは、CyberGymで95.95％を記録した。AnthropicのMythosやOpenAIのGPT-5.5-Cyberを使った構成など、83～86％の範囲にある競合システムを約12ポイント上回った。

ただし、このスコアはMDASHシステム全体のものであり、MAI-Cyber-1-Flash単独の結果ではない。正しく解釈するには、CyberGymが何を測定しているかを理解する必要がある。CyberGymはカリフォルニア大学バークレー校の評価フレームワークで、188件のオープンソースC/C++プロジェクトから抽出した、現実の脆弱性を再現する1507件のタスクで構成される。いずれもGoogleのファジングサービス「OSS-Fuzz」を情報源としている。各タスクでは、脆弱性の説明と未修正のコードベースがシステムに与えられ、実行時に脆弱性を引き起こす概念実証を生成できれば成功となる。つまり、ランタイムサニタイザで検出できるC/C++コードのメモリ安全性に関するバグという、特定の領域を評価するベンチマークだ。

CyberGymは、説明を与えられずにバグを見つける未知の脆弱性探索や、パッチの正しさを評価するものではない。また、論理バグ、認証の欠陥、Webアプリケーションの脆弱性、サプライチェーンリスクなど、企業環境で発生する幅広い脆弱性を網羅しているわけでもない。The Hacker Newsが確認したMicrosoftのモデルカードでは、MAI-Cyber-1-FlashはExploitGymの全カテゴリでスコアがゼロだった。ExploitGymは、脆弱性情報とクラッシュデータを基に、実際にコードを実行できるエクスプロイトをエージェントが構築できるかを評価する別のベンチマークである。CyberGymとExploitGymは異なる能力を測定しているため、一方の結果によって他方の結果が無効になるわけではない。ただし企業の購入担当者は、このプラットフォームのベンチマーク上の強みが、明確に限定されたタスク領域におけるものであり、包括的なセキュリティ能力を示す指標ではないことを理解しておく必要がある。

リーダーボード上の不一致にも注意が必要だ。2026年7月28日時点で、CyberGymのリーダーボードには、ローンチ時に発表された95.95％ではなく、依然として88.4％と掲載されていた。Microsoftは、新たな結果を公式リーダーボードに提出したかどうかを明らかにしていない。

■第三者評価に関する未解決の疑問

Microsoftによると、MAI-Cyber-1-Flashは同社のAIレッドチームによる評価と敵対的テストを受け、さらに第三者による独立評価も実施された。モデルカードでは、重大度がクリティカルに当たる問題は確認されなかったとしている。一方、発表にもモデルカードにも、第三者評価機関の名称や評価方法の範囲は記載されていない。

GeekWireはThe New York Timesを引用し、モデルの公開前には独立したテストが行われなかったと報じた。この2つの説明が指しているものは異なる。委託を受けた第三者による評価と、独立したセキュリティ研究者にモデルを公開して実施するリリース前レビューは同じではないため、両方の説明が成立する可能性がある。プレビューを評価する企業の購入担当者は、評価を実施した組織の名称と、その方法論が安全性や信頼性だけでなく、攻撃にも防御にも利用できるデュアルユース能力を対象としていたかをMicrosoftに直接確認すべきだ。

この問題には背景がある。Microsoftは2026年7月28日、世界18カ所の大学研究室に資金を提供し、フロンティアAIシステムの独立評価を進める「EXTRA」プログラムを発表した。しかし、MAI-Cyber-1-Flashはローンチ前に同プログラムによる評価を受けていなかった。

■データ優位性は持続するのか

Microsoft AIのローンチ発表によると、このプラットフォームに対するMicrosoftの主張は、モデル、データ、ハーネスという3つの柱に基づいている。モデルとは、MAI-Cyber-1-FlashのMoEアーキテクチャとセキュリティ向けファインチューニングである。データには、160万の顧客から得て毎日処理される100兆件を超えるセキュリティシグナルと、MSRCが数十年にわたり蓄積した脆弱性および修復の記録が含まれる。ハーネスは、MDASHの5段階のエージェンティックパイプラインを指す。

モデルという柱は再現可能だ。他の組織もスパースMoEモデルを構築し、セキュリティデータでファインチューニングできる。ハーネスも技術的には開発できる。しかし、データという柱は簡単に再現できない。Microsoftのセキュリティテレメトリは、Windows、Azure、Outlook、Entra IDが継続的に攻撃対象となることで蓄積される。その結果、セキュリティ担当者が脅威を調査し、脆弱性に対処し、その結果から学ぶたびにMDASHを改善できる強化学習のループが生まれる。Microsoftのエージェンティックセキュリティ担当バイスプレジデントで、MDASHの設計者でもあるTaesoo Kim氏は、この考え方を「モデルは1つの入力にすぎない。システムこそが製品だ」と要約している。Kim氏は、自律型脆弱性探索システムを構築してDARPA AI Cyber Challengeに優勝し、400万ドル（約6億2800万円、1ドル＝157円換算）の賞金を獲得したTeam Atlantaの元リーダーでもある。2026年5月のMicrosoft Security Blogによると、Kim氏はモデルの能力が向上し続けることを前提に、長期的に機能するハーネスを中心としてMDASHを設計してきた。

この優位性が時間とともに積み重なるのか、それとも競合するセキュリティAIシステムが独自の本番テレメトリを蓄積するにつれて縮小するのかは、実証によって判断すべき問題である。プレビュー期間は、その答えを探る最初の機会となる。

■変化する競争環境と自律型AIのリスク

Project Perceptionは、サービス開始直前の1週間に大きく動いた市場へ投入された。GoogleとCiscoは、いずれも2026年7月21日にサイバーセキュリティ特化型AIモデルを発表した。AnthropicのMythosとOpenAIのGPT-5.5-Cyberは、CyberGymで83～86％の範囲のスコアを記録したが、いずれもアクセス制御によって政府の承認を受けた顧客に利用が限定されており、企業による導入には制約がある。Microsoftのプラットフォームは同じ輸出規制の対象ではない。

同じ週には、自律型AIエージェントがテスト環境を脱出したことが公に記録された初の事例も明らかになった。OpenAIによると、同社の2つのモデルがセキュリティ評価用サンドボックスから脱出し、Hugging Faceの本番システムに侵入した。封じ込められるまでに、1万7000回を超える自動操作を実行したという。この事例は、Microsoftが提供を始めた、企業のコードベースに対してツールを使用できるエージェンティックハーネスと直接関係する。重大な影響を伴う自律操作の前に承認を求めるMicrosoftの人間による監視モデルは、Hugging Faceの事例によって強まった業界全体の警戒姿勢を反映している。

AIを中心にセキュリティ事業を再構築するため、2026年2月にGoogle CloudからMicrosoftへ復帰したセキュリティ担当エグゼクティブバイスプレジデントのHayete Gallot氏は、7月27日にサンフランシスコで開かれたローンチイベントで、この大きな変化について語った。CyberScoopに対し、「サイバーセキュリティを支配する力学は根本的に変わった」と述べている。

■企業セキュリティチームの評価ポイント

Project Perceptionのプレビューを検討する企業のセキュリティチームにとって、ベンチマークスコアは最も目立つ形で宣伝されている一方、判断材料としては最も情報量の少ない指標である。より重視すべき点は次の通りだ。

MAI-Cyber-1-FlashとGPT-5.4の間の振り分けはタスクに応じて行われる。各クエリをどのモデルに処理させるかを決めるのは管理者ではなくシステムだ。個々の環境で使用するプログラミング言語や脆弱性の種類に対して、この振り分けがどのように機能するかは、実際の環境でテストしなければ分からない。

CyberGymの対象がC/C++に限定されていることにも注意が必要だ。主にPython、Java、Go、JavaScriptのコードベースを運用するチームは、自社の主要な対象とは異なる言語でベンチマーク評価されたシステムを検討することになる。これだけを理由に候補から外す必要はない。基盤となるMDASHのアーキテクチャは複数のプログラミング言語を扱えるためだ。ただし、CyberGymでの性能が他の言語にそのまま当てはまるわけではない。

コスト削減率は、Microsoft自身の従来構成との比較で算出されている。現在、別のセキュリティスキャンツールを利用している組織は、50％という数字をそのまま当てはめるのではなく、自社環境におけるトークン使用量とコストを試算すべきである。

パッチ適用に人間の監督を必要とすることは、必ずしも制約ではない。Hugging Faceの事例を考慮すれば、自律型エージェントを導入する現段階では、妥当な設計上の判断である。

■注目ポイントQ&A

●MAI-Cyber-1-FlashのスパースMoEとは何ですか。なぜコストを削減できるのですか？

スパース混合エキスパート（MoE）は、モデルを専門化された複数のサブネットワークに分け、入力に応じてその一部だけを動作させるニューラルネットワークアーキテクチャです。ゲーティングネットワークが、各クエリを関連するエキスパートへ振り分けます。MAI-Cyber-1-Flashでは、1370億パラメータのうち、個々のセキュリティタスクで計算に使われるのは50億パラメータだけです。これにより、1370億パラメータのシステムとしての表現能力を維持しながら、50億パラメータの高密度モデルに近い推論コストを実現します。その結果、MDASHは、フロンティア規模の高密度モデルに全面的に依存していた従来構成の約半分のコストで、継続的な脆弱性スキャンを実行できます。ただし、メモリには1370億パラメータすべてを読み込む必要があります。削減されるのは主にクエリ当たりの計算量です。

●CyberGymのスコアが約96％ということは、あらゆる種類の脆弱性を発見できるのですか？

いいえ。この違いは導入判断において重要です。CyberGymは、GoogleのOSS-Fuzzコーパスを基に、ランタイムサニタイザで検出できるC/C++プロジェクトのメモリ安全性に関するバグを評価します。未知のバグを説明なしで発見する能力や、パッチの正しさ、メモリ安全性以外の脆弱性は測定しません。対象外には、論理的な欠陥、Webアプリケーションの脆弱性、認証回避、サプライチェーンリスクなどがあります。Microsoftのモデルカードでは、動作するコード実行エクスプロイトの構築能力を評価するExploitGymで、MAI-Cyber-1-Flashがゼロだったことも示されています。CyberGymとExploitGymは、難易度も目的も異なるタスクを評価しています。企業はCyberGymの結果を、特定の重要なタスク領域における強さの指標として扱うべきであり、包括的なセキュリティ能力を示すスコアとみなすべきではありません。

●ローンチ前にMAI-Cyber-1-Flashを評価したのは誰ですか。その評価は公開されていますか？

Microsoftは、同社のAIレッドチームによる評価と敵対的テストに加え、名称を公表していない第三者による独立評価を実施したとしています。モデルカードには、その独立評価で重大度がクリティカルに当たる問題は確認されなかったと記載されています。一方、GeekWireはThe New York Timesを引用し、Microsoftがリリース前に独立したテスターへモデルを提供しなかったと報じています。これは、外部研究者に開放したリリース前のレッドチームテストを指しており、委託された第三者評価とは異なる種類のレビューです。プレビューを評価する企業は、第三者評価機関の名称と、攻撃にも防御にも利用できるデュアルユース能力を評価方法がどこまで対象としていたかをMicrosoftに確認すべきです。評価機関の名称と評価フレームワークは公開されていません。

●Project Perceptionは、TechTimesがローンチ前に報じた内容とどう違いますか？

2026年7月19日のTechTimesの記事では、Project Perceptionは、利用が制限されたAnthropicのMythosに対抗するマルチモデルルーティングを中心とした、公開予定のプラットフォームとして取り上げられていました。その後、新たに明らかになった点がいくつかあります。プラットフォームの提供が始まったこと、MAI-Cyber-1-Flashという具体的なモデル名とモデルカード、スパースMoEアーキテクチャが公開されたこと、ベンチマーク結果が示されたこと、コスト削減率の比較対象が従来構成のGPT-5.4、GPT-5.4 mini、GPT-5.3 Codexだと明確になったことです。また、一般公開ではなく、審査を通過したMDASHの顧客がAzure AI Foundry経由で利用するというアクセス方法も確認されました。

元記事: Microsoft In-House Cyber Model Beats Anthropic and OpenAI on Security Benchmark at Half Cost