마이크로소프트, 보안 취약점 찾는 AI 모델 ‘MAI-사이버-1-플래시’를 MDASH에 투입

보안 취약점 찾기도 이제 모델 라우팅 싸움임

• 마이크로소프트가 MAI-Cyber-1-Flash를 MDASH 안에 넣었다고 발표함

  • MDASH는 취약점 식별과 수정용 multi-agent harness임
  • MAI-Cyber-1-Flash는 복잡한 코드베이스에서 까다로운 취약점을 찾도록 만든 보안 특화 모델임

• 발표의 핵심 숫자는 성능과 비용임

  • MDASH와 MAI-Cyber-1-Flash 조합은 CyberGym에서 96퍼센트를 기록했다고 함
  • Mythos보다 12포인트 높고, Gemini와 GPT 계열보다도 앞선다고 주장함
  • 기존 MDASH 최고 구성인 GPT 5.4, 5.4 mini, 5.3 codex 조합 대비 비용은 50퍼센트 절감이라고 밝힘

왜 작은 보안 모델이 필요한가

• 마이크로소프트는 이제 보안에서 토큰 비용이 방어자의 진짜 제약이라고 봄

  • 공격자는 점점 강한 AI로 거대한 코드 더미에서 약점 하나를 찾으려 함
  • 방어자도 가끔 스캔하고 나중에 패치하는 방식으로는 밀릴 수밖에 없다는 논리임

• MAI-Cyber-1-Flash는 전체 작업의 최대 90퍼센트를 효율적으로 처리하도록 설계됐다고 함

  • 나머지 10퍼센트의 정말 어려운 작업만 GPT-5.4 같은 크고 비싼 모델에 넘김
  • 이건 보안 scan을 계속 돌려야 하는 조직 입장에서는 꽤 중요한 구조임

• 결국 MDASH는 multi-model system으로 동작함

  • 쉬운 건 compact security model이 처리함
  • 어려운 건 더 큰 모델이 맡음
  • 하네스가 이 라우팅과 검증, 수정 workflow를 잡아주는 식임

sequenceDiagram
    participant 보안팀
    participant MDASH
    participant 플래시모델
    participant 대형모델
    participant 코드베이스
    보안팀->>MDASH: 취약점 탐지 작업 요청
    MDASH->>플래시모델: 일반 작업 우선 분석
    플래시모델->>코드베이스: 코드 경로와 취약 패턴 탐색
    플래시모델-->>MDASH: 후보 취약점과 수정안 반환
    MDASH->>대형모델: 어려운 케이스만 escalation
    대형모델-->>MDASH: 고난도 분석 결과 반환
    MDASH-->>보안팀: 검증된 취약점과 remediation 제안

마이크로소프트가 내세우는 세 가지 축은 모델, 데이터, 하네스임

• 모델 측면에서는 MAI-Cyber-1-Flash를 code-heavy security model로 소개함

  • MAI-Thinking-1 계열에서 파생됐고, 내부에서 처음부터 만든 고품질 데이터 기반 모델이라고 설명함
  • 마이크로소프트의 첫 cyber model이라는 점도 강조함

• 데이터 측면에서는 마이크로소프트 보안 사업의 규모를 전면에 세움

  • identity, endpoint, cloud, network에서 하루 100조 개 이상의 보안 신호를 본다고 함
  • 160만 고객의 운영 인사이트도 언급함
  • 실제 exploit, remediation, 방어 결과까지 연결할 수 있다는 게 차별점이라는 주장임

• 하네스 측면에서는 MDASH가 100개 이상의 에이전트를 가진다고 밝힘

  • 여러 leading model을 사용해 취약점을 찾고, 검증하고, 수정함
  • Security Operating Center에서 agentic code scanning이 중요한 기능이 될 거라고 봄

안전장치도 엔터프라이즈 톤으로 깔아둠

• 마이크로소프트는 MAI-Cyber-1-Flash를 모델 학습부터 고객 배포까지 security-first calibration으로 만들었다고 함

  • Microsoft AI Red Team 평가를 거쳤고, 자동화된 adversarial exercise와 전문가 주도 테스트도 수행했다고 밝힘
  • 독립적인 제3자 평가도 언급함

• MDASH 쪽 통제 장치도 꽤 많이 나열함

  • 역할 기반 제어, tenant isolation, encryption, auditability가 포함됨
  • sandboxed execution environment는 인터넷 접근 없이 동작한다고 설명함

다음 단계는 Perception과 지속 학습 루프임

• 마이크로소프트는 Perception이라는 agentic security system도 같이 발표함

  • 여러 에이전트 팀이 보안 workflow를 맡아 지속적으로 모니터링하고 패치하고 threat vector를 닫는 방향임
  • MAI-Cyber-1-Flash는 앞으로 소프트웨어 취약점 외의 더 많은 보안 workflow에도 쓰일 예정이라고 함

• 마이크로소프트가 보는 사이버보안은 live reinforcement learning loop임

  • 방어자는 매일 threat 조사, alert triage, adversary hunting, vulnerability remediation, protection deployment를 반복함
  • 어떤 취약점이 exploit 가능했는지, 무엇이 차단됐는지, 어떤 조치가 실제로 먹혔는지를 다시 학습 데이터로 연결할 수 있다는 주장임

기술 맥락

• 이 발표에서 중요한 선택은 큰 범용 모델 하나로 모든 보안 업무를 처리하지 않는다는 점이에요. 취약점 탐지는 계속 돌려야 하는 업무라서, 성능만큼이나 토큰 비용과 처리량이 운영 병목이 되거든요.

• MAI-Cyber-1-Flash가 맡는 역할은 1차 전문 분석 모델에 가까워요. 흔한 취약 패턴이나 중간 난이도 작업은 더 싼 모델이 처리하고, 정말 복잡한 코드 추론만 대형 모델로 보내면 비용을 줄이면서도 품질을 유지할 수 있어요.

• MDASH 같은 하네스가 필요한 이유도 여기에 있어요. 모델이 답을 내는 것만으로는 부족하고, 어떤 모델에 보낼지, 결과를 어떻게 검증할지, 수정안을 어떻게 격리된 환경에서 다룰지까지 workflow로 묶어야 하거든요.

• 마이크로소프트가 데이터 규모를 강조하는 것도 단순 마케팅만은 아니에요. 보안 모델은 실제 공격, 방어, remediation 결과를 많이 볼수록 ‘그럴듯한 취약점’과 ‘진짜 터지는 취약점’을 구분할 가능성이 커져요.