Microsoft lança o MAI-Cyber-1-Flash: 5B de parâmetros ativos e 95,95% no CyberGym

A Microsoft AI lançou em 28 de julho de 2026 o MAI-Cyber-1-Flash, seu primeiro modelo criado especificamente para ciberdefesa. Combinado ao harness de varredura MDASH, ele levou o resultado no benchmark CyberGym a 95,95%, superando o recorde anterior do setor.

O que é o MAI-Cyber-1-Flash

O MAI-Cyber-1-Flash é um transformer Mixture-of-Experts esparso da Microsoft AI, com 137 bilhões de parâmetros no total, dos quais 5 bilhões ativos, janela de contexto de 256 mil tokens e entrada e saída apenas em texto. Trata-se de um fine-tuning especializado do MAI-Code-1-Flash, modelo agêntico leve para código, da linha MAI-Thinking-1, que já está integrado ao GitHub Copilot e ao VS Code. O modelo não é oferecido em um endpoint de API próprio: ele funciona apenas dentro do MDASH.

• 137 bilhões de parâmetros no total, 5 bilhões ativos, arquitetura sparse MoE
• Contexto de 256 mil tokens, entrada e saída apenas em texto
• Fine-tuning especializado do MAI-Code-1-Flash, da linha MAI-Thinking-1
• 95,95% no CyberGym level 1, contra 88,45% do MDASH em maio de 2026
• O modelo assume até 90% das tarefas do MDASH, e os 10% mais pesados vão para o GPT-5.4

Por que o recorde vem do roteamento, e não do modelo

O principal resultado vem menos do modelo em si e mais do sistema ao redor dele. O MDASH coordena mais de 100 agentes especializados em cinco etapas: Prepare, Scan, Validate, Dedupe e Prove. O CyberGym é um conjunto público de 1507 tarefas reais de reprodução de vulnerabilidades, reunidas a partir de 188 projetos do OSS-Fuzz. Na configuração level 1, o sistema recebe o código-fonte vulnerável e uma descrição geral.

O MAI-Cyber-1-Flash processa até 90% de todas as tarefas do MDASH e encaminha os 10% mais difíceis ao GPT-5.4. Isso gera a economia declarada de 50% em relação à combinação anterior de GPT-5.4, 5.4 mini e 5.3 codex. O máximo anterior do MDASH, de 88,45% em maio de 2026, foi obtido apenas com modelos de acesso geral e já era o melhor resultado público, cerca de cinco pontos à frente do concorrente mais próximo, com 83,1%.

«A substituição de 80% dos modelos dentro do MDASH levou o harness de 88,4% a 95,95%», diz a descrição do lançamento feita pela equipe de pesquisa da

Microsoft.

Por que o modelo não sabe escrever exploits

Os zeros do MAI-Cyber-1-Flash no benchmark ExploitGym (0/0/0 nas seções Kernel, Userspace e Browser) não são um defeito, mas uma decisão da Microsoft. Segundo a equipe, o modelo foi treinado para tarefas defensivas, como corrigir bugs, e não para tarefas ofensivas, como implantar código malicioso.

No trabalho real, a combinação mostrou resultados convincentes. Em maio de 2026, um trabalho com participação do MDASH resultou em 16 CVEs na pilha de rede e autenticação do Windows, incluindo quatro vulnerabilidades críticas de execução remota de código. Em análise retrospectiva, o harness recuperou 96% dos 28 casos do MSRC no driver clfs.sys e 100% dos 7 casos no tcpip.sys, em uma janela de cinco anos. O próprio MDASH foi criado pela equipe Autonomous Code Security, que inclui integrantes do Team Atlanta, vencedor do DARPA AI Cyber Challenge.

O que isso significa

A Microsoft mostra que os recordes em busca de vulnerabilidades não vêm de um único grande modelo, mas da boa orquestração de agentes especializados e baratos: um modelo com 5 bilhões de parâmetros ativos carrega 90% do trabalho e corta a conta pela metade, e o modelo de fronteira só entra nas tarefas mais difíceis.

Perguntas frequentes

O que é o MDASH?

O MDASH é o harness agêntico multimodelo da Microsoft para busca de vulnerabilidades. Ele coordena mais de 100 agentes em cinco etapas (Prepare, Scan, Validate, Dedupe, Prove) e alcança 95,95% no benchmark CyberGym.

Por que o MAI-Cyber-1-Flash tem zeros no ExploitGym?

Isso é intencional. Segundo a Microsoft, o modelo foi treinado apenas para tarefas defensivas, como corrigir bugs, e não para escrever exploits nem código malicioso.

Quanto a nova combinação é mais barata que a anterior?

A Microsoft declara uma economia de cerca de 50% em relação à configuração anterior, de GPT-5.4, 5.4 mini e 5.3 codex. Isso ocorre porque o MAI-Cyber-1-Flash assume até 90% das tarefas, e apenas os 10% mais difíceis vão para o GPT-5.4.