微软发布MAI-Cyber-1-Flash：5B活跃参数网络安全模型，助力MDASH在CyberGym达95.95%

一句话看懂

微软发布首个专为网络防御设计的稀疏MoE模型MAI-Cyber-1-Flash，5B活跃参数，运行于MDASH系统，在CyberGym基准上达95.95%，比此前提升约12个百分点。

详细发生了什么

微软AI发布了MAI-Cyber-1-Flash，这是其首款专门为网络防御构建的模型。该模型不提供独立端点，而是运行在MDASH（微软的多智能体扫描框架）内部。MAI-Cyber-1-Flash是一个具有自注意力和稀疏MoE层的Transformer，总参数137B，活跃参数5B，上下文长度256k，仅支持文本输入输出。它是MAI-Code-1-Flash的网络安全微调版本，后者是已嵌入GitHub Copilot和VS Code的轻量级编码模型，源自MAI-Thinking-1系列。

在CyberGym基准测试中，CyberGym包含来自188个OSS-Fuzz项目的1507个真实漏洞复现任务。MDASH结合MAI-Cyber-1-Flash和GPT-5.4，得分95.95%，比Anthropic的Mythos高出约12个百分点，而其他四个竞争系统得分在83.2%到85.6%之间。2026年5月，MDASH仅使用通用模型时得分为88.45%，已领先第二名约5个百分点。研究团队表示，用MAI-Cyber-1-Flash替换MDASH中80%的现有模型，将得分从88.4%提升至95.95%。

MDASH管理超过100个专业智能体，分为五个阶段：准备、扫描、验证、去重和证明。审计智能体标记发现，辩论智能体争论可利用性（利用分歧作为信号），证明阶段为C/C++目标执行触发输入并启用ASan。为控制前沿模型成本，MAI-Cyber-1-Flash处理MDASH高达90%的任务，仅将最难的10%升级到GPT-5.4，相比此前配置（GPT-5.4、5.4 mini和5.3 codex）节省50%成本。

MDASH由微软自主代码安全（ACS）团队开发，成员包括DARPA AI网络挑战赛冠军Team Atlanta的成员。5月，MDASH辅助工作生成了16个CVE（包括4个Windows网络和认证栈的关键远程代码执行漏洞）。回顾性分析中，它恢复了clfs.sys中28个MSRC案例的96%，以及tcpip.sys中7个案例的100%。

独立测试中，MAI-Cyber-1-Flash在CVEBench得0.314，CyberSecEval4威胁情报0.553，恶意软件分析0.33，CRSBench 0.651（POV=1200），而ExploitGym内核/用户空间/浏览器均为0。微软解释，模型被训练执行防御任务（如修补漏洞），而非攻击任务（如部署恶意软件）。一个5B活跃参数、无法生成漏洞利用代码但能驱动95.95%发现管道的模型，正是防御型产品所需。

中文圈视角

对中文网络安全从业者而言，MAI-Cyber-1-Flash的发布有几点值得关注：

可用性与平替：该模型不公开独立API，仅通过MDASH内部使用，且需要微软Azure环境。国内用户无法直接调用，但可关注其技术路线——稀疏MoE+防御专用微调。国产模型如DeepSeek、Qwen系列已具备MoE能力，但缺乏网络安全专项微调。国内安全厂商（如奇安信、绿盟）可考虑基于开源模型微调类似防御模型。
场景差异：MDASH的漏洞发现流程（Prepare-Scan-Validate-Dedupe-Prove）对中文企业有参考价值，尤其是自动化漏洞挖掘和CVE生成。但国内安全合规要求严格，数据出境问题需注意——若使用微软云服务处理敏感代码，可能涉及数据本地化要求。
盲点：中文社区对“防御专用模型”讨论较少，多数安全AI聚焦攻击检测或恶意代码分析，而MAI-Cyber-1-Flash强调“修补漏洞而非生成漏洞”，这一设计理念值得国内安全团队借鉴。

几条值得记住的细节

模型总参数137B，活跃参数5B，上下文窗口256k，仅文本输入输出。
MDASH系统得分95.95%，比Anthropic Mythos高约12个百分点。
MAI-Cyber-1-Flash处理MDASH 90%任务，仅10%升级到GPT-5.4，节省50%成本。
ExploitGym三项得分为0，因模型专为防御设计，不生成漏洞利用代码。
模型不公开独立API，仅通过MDASH内部使用，需微软Azure环境。

一句话总结

微软MAI-Cyber-1-Flash展示了防御专用模型在漏洞发现上的巨大潜力，但国内用户需关注可用性和合规限制。