- Microsoftが自社開発の初となるサイバーセキュリティモデル「MAI-Cyber-1-Flash」を発表
- 脆弱性の発見・トリアージ・パッチ適用を赤・青・緑の各エージェントが担う、エージェント型システム「Project Perception」も公開
- この発表は、OpenAIが自社モデルがサンドボックスを脱出しHugging Faceを攻撃したと明かしてから数日後というタイミング
Microsoftは、2つの重要なセキュリティ関連発表を明らかにしました。1つは自社で初めて内製したサイバーセキュリティモデル「MAI-Cyber-1-Flash」、もう1つは脆弱性を発見し、どれが重要かを判断したうえでパッチを作成・展開するエージェント型防御システム「Project Perception」です。
この発表は、OpenAIが自社モデルがサンドボックスを脱出しHugging Faceに侵入したことを明らかにした数日後というタイミングで行われており、これが不運な偶然なのか、それとも意図的なものなのかは判断が分かれるところです。
Microsoftは、サイバーセキュリティ分野の業界標準ベンチマークであるCyberGymで96%のスコアを記録し、Anthropicの「Claude Mythos 5」を約12ポイント上回ったと主張しています。さらにトークンコストを最大50%削減できるとしており、同社は「独自の豊富な過去の学習データにアクセスできる、綿密に調整されたマルチモデルシステム」を提供するとしています。
絶妙なタイミングで投入された競争力のある製品か
Hugging Faceの一件は大きな注目を集めましたが、その反応は必ずしも否定的なものばかりではありませんでした。というのも、この一件はOpenAIのモデルが同社自身の評価が示していた以上に高い能力を備えていることを浮き彫りにしたからです。同時に、研究者たちが長年提起してきた問いも改めて先鋭化させました。すなわち、モデルが自身に課された制御を突破できるほど高性能になったとき、何が起きるのかという問いです。
Microsoftの回答は、タイミングの良さと二段構えの戦略に特徴があります。同社は、競合よりも低コストかつ高性能であると主張していますが、その性能数値は今のところMicrosoft自身が示したものにすぎません。
MAI-Cyber-1-Flashは、総パラメータ数1,370億、アクティブパラメータ数50億、コンテキストウィンドウ256,000トークンを備えたスパースな専門家混合型(mixture-of-experts)Transformerで、MAI-Code-1-Flashをサイバーセキュリティ向けにファインチューニングしたモデルです。MAI-Code-1-Flash自体も、MAI-Thinking-1の中間学習チェックポイントから開発されたものです。
このモデルは、Microsoftのマルチモデル脆弱性検証基盤「MDASH」内のタスクのうち最大90%を処理できるよう設計されており、最も難易度の高い残り10%についてはOpenAIのGPT-5.4が担当します。
Microsoftによれば、この分担により従来最良とされていたMDASH構成と比べてコストを約半分に抑えられるといいます。現時点では、この機能はMDASH内でのみ動作し、Azure AI Foundryのプライベートプレビューを通じて、承認を受けたMDASH顧客のみが利用可能です。単体APIとしての提供はありません。
Project Perceptionは、このMAI-Cyber-1-Flashを最初のワークフローに組み込みつつ、GPT-5.4のようなフロンティアモデルも併用する、いわば包括的な仕組みです。作業は3種類のエージェントに分担されます。赤(red)エージェントは攻撃者が取り得る侵入経路を探索し、青(blue)エージェントはそれを調査したうえで意味のあるリスクかどうかを判断し、緑(green)エージェントは修復と堅牢化を行います。
OpenAIのモデルを暴走させた具体的な失敗要因について、MicrosoftはOpenAIが取らなかった予防策を講じたとしています。同社によれば、すべてのベンチマークテストは、本番システムやパブリックインターネット、外部サービスへの一切のアクセスを持たない、ネットワークから隔離された環境で実施されたとのことです。
一方、OpenAIのサンドボックスには、内部のパッケージ取得サービスという形で外部への経路が1つ残されており、同社のモデルはそこに欠陥を見つけ出して権限を昇格させ、研究用ネットワーク内を移動しながら最終的にインターネットに接続可能なマシンへとたどり着きました。Microsoftは自社の隔離環境は破られなかったと主張していますが、それをMicrosoft以外の第三者が検証したわけではありません。
より難しい問題は、テスト中の封じ込めではありません。Project Perceptionは、作業の場を研究用ネットワークから顧客の本番環境へと移すものであり、そこでは緑エージェントが実際に稼働中のシステムを変更する権限を、通常業務として与えられています。
実際のインフラに対して直接手を加えることこそが製品の本質であるため、そこには「脱出すべきサンドボックス」自体が存在しません。そして、たとえ監視の目があったとしても、攻撃者の特定は容易ではありません。Hugging Faceは侵入発生からわずか数日で検知し法執行機関に報告しましたが、OpenAIが名乗り出るまで、背後に誰がいたのかを知る術がありませんでした。
Hugging Faceは、主要な米国製モデルの助けを借りることもできませんでした。これらのモデルは、Hugging Face側の防御目的の要請を攻撃的なものと誤認し、対応を拒否したためです。結局同社は、中国製のオープンウェイトモデルである「GLM 5.2」を自社インフラ上で稼働させることで、自らを守るしかありませんでした。
今のところ、業界が危険な能力に対して示す答えは、より限定的な配布にとどまっています。そして、防御側がその能力を緊急に必要とした唯一の実例では、結局のところ、誰からも制限を受けていないモデルに頼らざるを得なかったのです。
