Wczoraj pisaliśmy, że CISA uchyliła własny nakaz łatania wszystkiego, bo przy sześćdziesięciu sześciu tysiącach CVE rocznie liczba znalezisk przestała cokolwiek mówić o ryzyku. Zdolność znajdowania luk przerosła zdolność ich naprawiania, a państwo przyznało to jako pierwsze. 27 lipca Microsoft ogłosił coś, co tę przepaść poszerza — choć nagłówek mówi o czymś zupełnie innym.
Firma wypuściła MAI-Cyber-1-Flash, swój pierwszy model zbudowany specjalnie pod cyberbezpieczeństwo, i podała, że system MDASH z tym modelem osiągnął 95,95% na benchmarku CyberGym. Ta liczba pójdzie w świat i będzie cytowana jako miara postępu. Tymczasem interesujące są dwie inne, znacznie mniej efektowne: dziewięćdziesiąt i pięćdziesiąt. Nowy model obsługuje do dziewięćdziesięciu procent zadań, oddając najtrudniejsze dziesięć modelowi frontier — a cała konfiguracja kosztuje o pięćdziesiąt procent mniej niż poprzednia.
Bo ograniczeniem w wyścigu, który opisujemy od marca, nigdy nie była zdolność. Była nią cena skanowania.
Dlaczego nagłówkowa liczba jest niestabilna
Zacznijmy od benchmarku, bo trzeba go rozebrać, zanim przejdziemy do rzeczy ważniejszej. Są trzy niezależne powody, dla których 95,95% nie znaczy tego, co się wydaje.
Po pierwsze, to nie jest wynik modelu. CyberGym to zestaw ponad półtora tysiąca zadań odtwarzania rzeczywistych podatności, zaczerpniętych ze stu osiemdziesięciu ośmiu projektów otwartoźródłowych; w konfiguracji, w której Microsoft mierzył, agent dostaje opis luki oraz niezałatany kod źródłowy i ma wyprodukować działający dowód koncepcji. Wynik osiągnął nie sam MAI-Cyber-1-Flash, lecz cały system MDASH — ponad sto wyspecjalizowanych agentów pracujących w pięciu etapach, gdzie agenci audytujący zgłaszają znaleziska, agenci dyskutujący spierają się o ich wykonalność (a sama niezgoda między nimi służy za sygnał), a etap dowodzenia uruchamia dane wejściowe pod sanitizerem pamięci — działający na MAI-Cyber-1-Flash w parze z GPT-5.4. To jest wynik zestawu, nie modelu.
Po drugie, publiczna tablica wyników go nie potwierdza. Sprawdzona 28 lipca tablica CyberGym nie zawierała rezultatu Microsoftu. Na czele figurował agent Atlas firmy Wiz z wynikiem 90,9% ze zgłoszenia z 27 lipca, a majowe zgłoszenie Microsoftu wciąż widniało jako 88,4%. Materiały producenta nie mówią, czy wynik w ogóle skierowano do weryfikacji.
Po trzecie i najciekawsze: nie da się go porównać z poprzednim wynikiem samego Microsoftu. W czerwcu firma podawała 96,55%, ale tamta liczba liczyła każde załamanie programu, także niezwiązane z szukaną podatnością. Lipcowe materiały nie precyzują, czy 95,95% posługuje się tym samym kryterium. Zestawienie obu liczb obok siebie wygląda więc jak spadek, ale równie dobrze może oznaczać zaostrzenie miary — i nie ma sposobu, żeby to rozstrzygnąć z zewnątrz.
Do tego dochodzi zastrzeżenie natury ogólniejszej, które warto powtarzać przy każdym takim ogłoszeniu: to jest benchmark przeprowadzony przez producenta, w którym cały dostrojony system agentowy zestawia się z bazowymi modelami konkurencji. To nie jest kontrolowane porównanie modelu z modelem. Jest to porównanie tego, co Microsoft sprzedaje, z tym, co klient złożyłby samodzielnie — komercyjnie sensowne, ale nie mierzące tego, co sugeruje nagłówek.
Deklaracja o połowie kosztów też pozostaje nieweryfikowalna: firma nie podała ani cen, ani danych o obciążeniu, które pozwoliłyby powtórzyć wyliczenie. Podobnie nie ujawniono rozkładu routingu — a „osiemdziesiąt procent zastąpionych modeli" i „dziewięćdziesiąt procent obsłużonych zadań" to dwie różne miary, których materiały nie wiążą ze sobą.
Rzecz, która naprawdę jest nowa
A teraz przejdźmy do tego, co pod tym wszystkim siedzi — bo jest znacznie ciekawsze niż punktacja.
MAI-Cyber-1-Flash ma sto trzydzieści siedem miliardów parametrów łącznie, ale zaledwie pięć miliardów aktywnych. To rzadka architektura mieszanki ekspertów, w której przy każdym zapytaniu pracuje niewielki wycinek sieci. Model powstał jako dostrojenie MAI-Code-1-Flash — lekkiego modelu kodującego, który siedzi już w Copilocie i edytorze Microsoftu. Mówiąc prościej: to nie jest kolejny gigant. To jest mały, tani, wyspecjalizowany silnik zbudowany na czymś, co firma już miała.
I stąd bierze się architektura, która jest właściwą wiadomością. MDASH nie zastąpił modeli frontier — zmniejszył zależność od nich. Tani model wykonuje dziewięćdziesiąt procent pracy, a dziesięć procent uznanych za wyjątkowo trudne trafia do dużego modelu. Koszt całości spada o połowę.
Zestawmy to z tym, co pisaliśmy przez ostatni tydzień. FIRST podniósł prognozę na ten rok do około sześćdziesięciu sześciu tysięcy CVE, wskazując wspomagane przez AI odkrywanie luk jako jedną z trzech strukturalnych przyczyn. CISA uchyliła nakaz łatania wszystkiego, bo w tej skali przestał być wykonalny. Trzy tygodnie temu opisywaliśmy błąd w jądrze, przy którym AI pomogła badaczowi na trzech etapach. Wszystkie te obserwacje mówią o tym samym: znajdowanie luk przestało być wąskim gardłem.
Ale było jeszcze jedno wąskie gardło, o którym rzadziej się mówi — koszt. Skanowanie dużej bazy kodu modelem frontier jest drogie, a to ograniczało, jak często i jak szeroko można to robić. Model tani na tyle, by obsłużyć dziewięć zadań na dziesięć, zdejmuje właśnie to ograniczenie. Nie zmienia tego, co da się znaleźć. Zmienia, ile razy stać cię, żeby szukać.
To jest przyspieszenie dokładnie tej asymetrii, którą państwo tydzień temu oficjalnie uznało za niemożliwą do opanowania starym modelem. Znaleziska tanieją, naprawa nie tanieje wcale — bo naprawa nadal wymaga ludzi, testów regresji, okien serwisowych i decyzji biznesowych. Każde obniżenie kosztu skanowania poszerza przepaść między tym, co wiemy, a tym, co zdążyliśmy naprawić.
Wzorzec, którego nikt nie zestawił
Jest jeszcze druga rzecz, widoczna dopiero wtedy, gdy zestawić trzy ogłoszenia z jednego tygodnia.
21 lipca Google udostępnił Gemini 3.5 Flash Cyber — model wyspecjalizowany w cyberbezpieczeństwie, dostępny wyłącznie dla instytucji rządowych i zaufanych partnerów, w ramach pilotażu z ograniczonym dostępem. 27 lipca Microsoft wypuścił MAI-Cyber-1-Flash, który nie jest dostępny jako samodzielny model ani ogólne API — działa tylko wewnątrz MDASH, w prywatnej wersji zapoznawczej dla zatwierdzonych klientów. A od czerwca Anthropic udostępnia Mythosa przez weryfikowany program partnerski obejmujący około dwustu organizacji.
Trzech dostawców, trzy różne mechanizmy, jeden wzorzec: żaden nie wydał zdolności cyber jako otwartego punktu końcowego. Zdolność przestała być modelem, który się wywołuje. Stała się produktem, do którego trzeba się zakwalifikować — przez weryfikację, przez umowę, przez status klienta.
Powód jest oczywisty i sami dostawcy go nie ukrywają. Model zbudowany po to, by znajdować trudne luki w złożonych bazach kodu, jest z definicji modelem, który znajdzie te luki także dla atakującego. Microsoft podkreśla, że trenował swój model do zadań obronnych, takich jak łatanie błędów, a nie ofensywnych — ale sama różnica między jednym a drugim jest w tym przypadku cieńsza niż zwykle, bo pierwszy krok obu jest identyczny.
To domyka wątek, który prowadzimy od czerwcowej sagi wokół Fable 5. Wtedy pisaliśmy, że Zachód dawkuje zdolność cyber, a Wschód ją rozdaje. Lipiec pokazuje, jak wygląda dojrzała wersja tego dawkowania: nie zakaz i nie kontrola eksportowa, lecz po prostu model, którego nie da się kupić osobno. Reglamentacja przestała być wydarzeniem politycznym. Stała się domyślnym kształtem produktu.
Warto przy tym odnotować bez złośliwości szczegół, który mówi coś o granicach tej specjalizacji: najtrudniejsze dziesięć procent zadań flagowy system bezpieczeństwa Microsoftu oddaje modelowi GPT-5.4 od OpenAI. Mały wyspecjalizowany model przejmuje rutynę, ale szczyt trudności wciąż należy do frontier — i wciąż do cudzego.
Co z tego wynika dla obrońcy
Pierwsza rzecz dotyczy czytania takich ogłoszeń, bo będzie ich więcej. Gdy zobaczysz wynik benchmarku w komunikacie producenta, sprawdź trzy rzeczy: czy mierzono model, czy cały system; czy wynik jest na publicznej tablicy, czy tylko w materiałach firmy; oraz czy kryterium pomiaru jest to samo, co przy poprzednim wyniku tej samej firmy. W tym przypadku wszystkie trzy odpowiedzi wypadają niekorzystnie, a mimo to liczba już żyje własnym życiem.
Druga jest praktyczna i wynika z architektury, nie z punktacji. Wzorzec „tani model wyspecjalizowany do rutyny, drogi model frontier do trudnych przypadków" jest przenoszalny i prawdopodobnie stanie się standardem — również u ciebie, jeśli budujesz cokolwiek opartego na modelach. Warto go rozważyć nie dlatego, że robi tak Microsoft, lecz dlatego, że rozkład trudności zadań w większości procesów jest właśnie taki: dużo rutyny, mało przypadków wymagających maksymalnej zdolności.
Trzecia jest strategiczna i mniej wygodna. Skoro koszt skanowania spada, to spada dla wszystkich, którzy mają dostęp — a dostęp jest właśnie tym, co dostawcy reglamentują. Powstaje więc układ, w którym obrońca zweryfikowany do programu partnerskiego skanuje coraz taniej, a obrońca poza programem nie. To nie jest sytuacja neutralna: to jest przewaga, która rośnie z każdą obniżką ceny i której nie da się nadrobić samym wysiłkiem. Warto wiedzieć, po której stronie tej linii stoi twoja organizacja — i czy w ogóle ma ścieżkę, żeby ją przekroczyć.
Jedna myśl na koniec
Przez cały rok mierzyliśmy postęp w tej dziedzinie wynikami benchmarków, bo są wygodne: jedna liczba, łatwo porównać, dobrze wygląda w nagłówku. Ten przypadek pokazuje, jak zawodna jest to miara — bo trzy różne zastrzeżenia wystarczyły, żeby rozmontować wynik, który wygląda na przełom. A prawdziwa zmiana ukryła się w danych, których nikt nie zacytuje: pięć miliardów aktywnych parametrów, dziewięćdziesiąt procent zadań, połowa kosztu. Nie w tym, jak dobrze maszyna szuka, lecz w tym, jak tanio. Bo pytanie, które zdecyduje o najbliższych miesiącach, nie brzmi „czy AI znajdzie tę lukę". Brzmi „ile razy stać kogoś, żeby spróbował" — a odpowiedź na nie właśnie się podwoiła.
Źródła
The Hacker News — omówienie z pełnym zestawem zastrzeżeń: wskazaniem, że wynik należy do systemu MDASH z GPT-5.4, a nie do samego modelu, informacją o braku rezultatu na publicznej tablicy CyberGym w dniu 28 lipca oraz o odmiennym kryterium czerwcowego wyniku 96,55%: https://thehackernews.com/2026/07/microsoft-says-new-cybersecurity-ai.html
Microsoft AI — karta modelu MAI-Cyber-1-Flash z parametrami architektury i stwierdzeniem, że zastąpienie osiemdziesięciu procent dotychczasowych modeli w MDASH podniosło wynik z 88,4% do 95,95%: https://microsoft.ai/pdf/MAI-Cyber-1-Flash-Model-Card.pdf
MarkTechPost — szczegóły techniczne modelu i systemu: architektura mieszanki ekspertów, pochodzenie od MAI-Code-1-Flash, budowa CyberGym oraz opis pięciu etapów MDASH z agentami audytującymi i dyskutującymi: https://www.marktechpost.com/2026/07/28/microsoft-ai-releases-mai-cyber-1-flash-a-5b-active-parameter-cyber-model-that-pushes-mdash-to-95-95-on-cybergym/
VentureBeat — analiza z zastrzeżeniem o charakterze benchmarku prowadzonego przez producenta, wskazaniem eskalacji najtrudniejszych zadań do GPT-5.4 oraz uwagą o dwojakim zastosowaniu modeli zdolnych znajdować trudne luki: https://venturebeat.com/security/microsoft-launches-ai-cybersecurity-model-agentic-defense-platform-to-cut-enterprise-security-costs
MLQ News — zestawienie nieujawnionych danych: braku cen pozwalających zweryfikować deklarację o połowie kosztów oraz braku rozkładu routingu wiążącego „osiemdziesiąt procent zastąpionych modeli" z „dziewięćdziesięcioma procentami obsłużonych zadań": https://mlq.ai/news/microsofts-new-cyber-model-handles-most-mdash-work-but-its-top-score-still-uses-gpt-54/
Nie nowy atak, tylko naprawiony błąd. Co łatka Gemini CLI mówi o tym, że tryb –yolo w potoku CI/CD to nie jest dobry pomysł