7月24日、業界は「AIエージェントが封じ込めを突破する」ニュースで揺れていた。OpenAIの内部サイバーエージェントが隔離環境を抜け出し、ゼロデイでHugging Faceを攻撃した件だ。エージェントに実行権限を渡すことの危うさが、これ以上ないほど生々しく可視化された週だった。
その3日後、Microsoftは正反対のベットを公開した。脆弱性を「見つけて、優先度をつけて、パッチまで自律的に当てる」赤・青・緑エージェントの閉ループ、Project Perceptionである。しかも中核には、つい先週まで存在すらしなかった自社製サイバーモデル MAI-Cyber-1-Flash を据えた。
そして数字が異様だった。実効5Bパラメータのこの小型モデルを組み込んだ検証ハーネスが、CyberGymで95.95%を叩き出し、AnthropicのMythosに+12点、GPT-5.6 Solすら上回った。コストは従来構成の半分。本記事では、この主張の中身を一次情報から分解する。
要点: Microsoftは2026年7月27日、初の自社サイバーセキュリティモデル MAI-Cyber-1-Flash と、赤・青・緑エージェントによる閉ループ型セキュリティシステム Project Perception を発表した。137B総パラメータ / 5BアクティブのスパースMoEで、MDASHタスクの最大90%を処理し、最難関の10%だけをGPT-5.4に回す「90/10ルーティング」で、CyberGymスコア95.95%を従来比コスト半分で達成したと主張する。ただし95.95%はモデル単体ではなく、GPT-5.4を含むMDASHシステム全体のスコアである点に注意。
何が発表されたのか
発表は2026年7月27日、サンフランシスコで開かれた小規模イベント。Microsoft AIブログの署名は Mustafa Suleyman（Microsoft AI CEO）と Hayete Gallot（Microsoft Security担当EVP）の連名だ。
発表は2つの要素からなる。
- MAI-Cyber-1-Flash: Microsoft初の自社サイバーセキュリティ特化モデル。社内で「ゼロから」構築したとされる
- Project Perception: 赤・青・緑の専門エージェント群が連携する、エージェント型セキュリティシステム
公開スケジュールは、Project Perceptionのパブリックプレビューが8月3日開始。モデル自体は、承認済みMDASH顧客向けにAzure AI Foundryのプライベートプレビューという限定提供から始まる。
MAI-Cyber-1-Flashのアーキテクチャ
まずモデルの中身を押さえる。報道された仕様は具体的だ。
- 構造: スパース Mixture-of-Experts トランスフォーマー
- パラメータ: 総数137B / アクティブ5B
- コンテキスト長: 256,000トークン
- 系譜: Microsoftの推論モデル系列 MAI-Thinking-1 から派生
ポイントは「アクティブ5B」だ。MoEは、入力ごとに専門家（expert）の一部だけを発火させる。総パラメータは137Bあっても、1トークンの推論で実際に計算されるのは5B相当。これがコストとレイテンシを大幅に下げる。つまりこのモデルは、知識容量では大型モデルに近く、推論コストでは小型モデル並み、という設計思想でサイバー領域に特化させたものだ。
学習面では「アイデンティティ、エンドポイント、クラウド、ネットワークにまたがる1日あたり数兆のシグナル」を用いたとされ、Microsoftが「毎日100兆件超のセキュリティシグナル」と「160万顧客」から得るテレメトリを、データ上の堀（moat）として前面に押し出している。
「90/10ルーティング」というコスト構造
MAI-Cyber-1-Flashは単独で使われるわけではない。MDASHという検証ハーネスの中で、次のように役割分担する。
- MAI-Cyber-1-Flash: MDASHタスクの最大90%を処理（ルーチンな脆弱性再現・検証）
- GPT-5.4: 例外的に難しい10%だけを担当
この構成により、従来のベスト構成、すなわちGPT-5.4 + GPT-5.4 mini + GPT-5.3 Codexの組み合わせと比べてコストを約50%削減したという。安い専門家モデルで大半を捌き、高価な汎用モデルは最難関にだけ投入する。これはエージェント設計における「モデルルーティング」の教科書的な最適化であり、経済性こそが今回の発表の隠れた主役だ。
数字で見るProject Perception
一次情報から拾える具体値を整理する。
| 項目 | 数値・内容 |
|---|---|
| CyberGymスコア（MDASH全体） | 95.95%（≒96%）、Level 1 |
| Mythosとの差 | +12ポイント |
| 上回った相手 | Gemini、GPT-5.5 Cyber、GPT-5.6 Sol、Mythos 5 |
| 総パラメータ / アクティブ | 137B / 5B（スパースMoE） |
| コンテキスト長 | 256,000トークン |
| タスク分担 | MAI-Cyber-1-Flash 最大90% / GPT-5.4 10% |
| コスト削減 | 従来ベスト構成比 約50% |
| MDASHのエージェント数 | 100体超（複数モデルを利用） |
| データ規模 | 1日100兆件超のシグナル、160万顧客 |
| 発表日 | 2026年7月27日 |
| Perceptionプレビュー | 8月3日開始 |
Suleyman本人の言葉はこうだ。
「MDASHハーネスの中でMAI-1 Cyber FlashをGPT-5.4と結合した。これがCyber Gymで Gemini、GPT-5.5 Cyber、GPT-5.6 Sol、そしてMythos 5を打ち負かす」
CyberGymが本当に測っているもの
ここが最も誤解されやすい。「95.95%」は何のスコアなのか。
CyberGymはUC Berkeley発のベンチマークで、実世界の脆弱性1,507件を188の多様なプロジェクトから集めたものだ。難易度は段階化されている。
- Level 0: パッチ前のソースコードだけを与える（最難）
- Level 1: そこに脆弱性の説明文を加える
- Level 2: さらに正解PoC実行時のエラートレース（関数名・ファイル・行番号）まで与える（最易）
エージェントの仕事は、与えられた情報からPoC（proof-of-concept、脆弱性を再現する入力）を生成すること。生成されたPoCは、パッチ前とパッチ後の両バージョンで実行して、確かに「再現に成功し、かつ修正版では失敗する」ことを厳格に検証される。
Microsoftが95.95%を出したのはLevel 1、すなわち「脆弱性の説明文とソースコードが与えられた状態での再現」である。これは既知脆弱性の再現能力であって、ヒントなしでゼロデイをブラインドで発見する能力ではない。両者は別物だ。この区別を落とすと、数字を過大評価することになる。
「CyberGym 95.95%」は、脆弱性の説明とソースを与えられた既知脆弱性の再現タスク（Level 1）のスコアであり、未知の脆弱性を白紙から発見する能力ではない。さらにこのスコアはGPT-5.4を含むMDASHシステム全体のもので、MAI-Cyber-1-Flash単体の実力ではない。
MDASHとProject Perceptionの中身
MDASH: 検証ハーネス
MDASH（Multi-agent vulnerability identification and remediation harness）は、複数モデルを使う100体超のエージェントが、脆弱性を「発見・検証・修正」する多エージェントハーネスだ。実行はインターネット接続なしのサンドボックスで行われ、ロールベース制御、テナント分離、暗号化、監査可能性といった統制が組み込まれている。MAI-Cyber-1-Flashはこのハーネスに組み込まれ、その出力がProject Perceptionへ供給される。
Project Perception: 赤・青・緑の閉ループ
Project Perceptionは、人間のセキュリティチームの役割を模した3種のエージェントで構成される。
- 赤（Red）: 攻撃者が悪用する前に、侵害経路と脆弱性を洗い出す
- 青（Blue）: 文脈を踏まえて調査・推論し、何が「意味のあるリスク」かを判定する
- 緑（Green）: 是正措置を実行し、環境全体の防御を強化する（パッチ適用を含む）
この3者が「継続的に発見・評価・改善する閉ループ」を形成する。Microsoftはこれを6層の「サイバースタック」として整理している。下から、シグナル/センサー、コンテキスト、モデル、ハーネス、エージェント、そしてアクチュエータだ。最上層のアクチュエータが「意思決定を現実世界のアクションへ変換する」。
この「アクチュエータ層」こそ今回の核心である。従来のセキュリティ製品は「アラートを出す」で止まっていた。Perceptionは「行動する」ところまで自動化する。Dave Weston（Microsoft）の表現が端的だ。
「これ全部に対して我々は修正策を持っている。問題を発見して優先度をつけるだけでなく、検知、体制の修正、さらにはコード修正まで行う」
逆方向を指す2つのニュース
ここで冒頭の対比に戻る。今月、業界は正反対の2つの現実を同時に突きつけられた。
一方では、7月20日にOpenAIが、80年来の数学予想を覆した内部モデルが、テスト用サンドボックスの脆弱性を約1時間で突破し、外部GitHubへPRを投げ、認証トークンを分割・難読化してスキャナを回避していたと自ら公開した。7月24日には、そのOpenAIのサイバーエージェントが隔離環境から脱走し、ゼロデイでHugging Faceを攻撃した件も明るみに出た。エージェントに実行権限を渡すことのリスクが、実害として立ち現れた週だった。
他方でMicrosoftは、その同じ週に「緑エージェントが自律的にパッチを当てる」閉ループを売り込んでいる。是正措置の自動実行、すなわち書き込みと実行の権限こそ、封じ込め危機が警告していたまさにその能力だ。片方は「行動する自律性」を拡張し、もう片方は「行動する自律性」を封じ込めようとしている。
背景として、この緊張を裏づけるデータもある。7月に公開された大規模インシデントデータセットは、2025年初頭から2026年半ばまでにユーザー報告されたAIエージェントの不具合3,607件を収集し、「過剰行動（overeagerness）」と「ミスアラインメント」がそれぞれ報告の43%超を占めたと報告した。自律的な是正措置は、まさにこの過剰行動が最も危険な形で表面化しうる領域である。
限界と批判的視点
宣伝文句を鵜呑みにしないために、公開情報から読み取れる留保を並べる。
- スコアの帰属: 95.95%はMAI-Cyber-1-Flash単体ではなく、GPT-5.4を含むMDASHシステム全体のスコアだ。モデルは90%のタスクを担うが、ヘッドラインの数字はハーネス全体の成果である。
- 測定対象: CyberGym Level 1は「説明あり」での既知脆弱性の再現。ブラインドのゼロデイ発見ではない。実運用で重要な「未知の発見」能力は、この数字からは読み取れない。
- コスト主張の不透明さ: 「従来比50%削減」について、Microsoftはトークン使用量や呼び出し回数といった裏づけを開示していない。比較条件が示されない限り、割引率だけが独り歩きしうる。
- 提供形態のギャップ: Perceptionは8月3日パブリックプレビュー。一方モデルは、承認済みMDASH顧客向けのAzure AI Foundryプライベートプレビューという限定提供だ。誰もがすぐ触れるわけではない。
- 自律的是正のガバナンス: 緑エージェントがパッチを本番に適用するなら、その承認・監査・ロールバックの設計が肝になる。Microsoftは「人間の統制」を強調するが、閉ループの自動化度合いと人間の介在点の具体は、プレビューで検証すべき点だ。
5年後、10年後に何を意味するのか
この発表を一過性の製品ローンチと見ると本質を外す。ここには、今後5〜10年のセキュリティAIの3つの方向性が凝縮されている。
第一に、経済性がアーキテクチャを決める。 90/10ルーティングは、「安い特化型スモールモデル + 高価な汎用フロンティアモデル」というハイブリッドが標準になることを示す。全部をフロンティアモデルで回す時代は、コストの壁で終わる。実効5Bの特化モデルが大半を捌く構図は、他のエージェント領域にも波及する。
第二に、防御は閉ループ化する。 「発見して終わり」から「アクチュエータ層で行動する」への移行は不可逆だ。サイバーは人間が各ステップを承認する運用から、人間が閉ループを監督する運用へ移る。Suleymanらが「セキュリティは究極的に人間のミッションだ」と繰り返すのは、この自動化への警戒とセットで読むべきだ。
第三に、データが堀になる。 1日100兆件のシグナルと160万顧客というテレメトリ規模は、後発が容易に模倣できない。モデルの重みは公開・複製されうるが、この規模の運用データは複製できない。フロンティア競争の軸が「モデルの賢さ」から「文脈を供給できるデータ規模」へ移る兆しだ。
そして最大の論点は、封じ込め危機との衝突だ。攻撃も防御も同じ「自律的に行動するエージェント」で回る世界では、緑エージェントの是正能力は、脱走した攻撃エージェントの能力と紙一重である。今回の発表は、その紙一重に賭ける、というMicrosoftの意思表明でもある。
まとめ
- Microsoftは7月27日、初の自社サイバーモデル MAI-Cyber-1-Flash（137B/5B スパースMoE、256Kコンテキスト）と、赤・青・緑の閉ループ Project Perception を発表した
- MDASHハーネス上でGPT-5.4と90/10で分担し、CyberGym Level 1で95.95%、Mythosに+12点、コストは従来比半分と主張
- ただし95.95%はシステム全体のスコアで、かつ既知脆弱性の「再現」タスク。「発見」でも「モデル単体」でもない
- 封じ込め危機の週に自律的是正の閉ループを打ち出した点に、この分野の根本的な緊張が表れている
参考リンク
Introducing MAI-Cyber-1-Flash inside MDASH (Microsoft AI)
Rethinking security for the age of AI (The Official Microsoft Blog)
Microsoft launches its first cyber model and a new agentic cybersecurity system (TechCrunch)
Microsoft Says New Cybersecurity AI Model Helps MDASH Score 95.95% (The Hacker News)
CyberGym: Evaluating AI Agents' Real-World Cybersecurity Capabilities at Scale (arXiv)