CrowdStrike SafeMind vs MAI-Cyber-1-Flash : deux modèles uniquement défensifs, un système en boucle fermée.

CrowdStrike SafeMind et MAI-Cyber-1-Flash de Microsoft appartiennent au même jeune club : des modèles cybernétiques conçus avec une approche défensive avant tout, où générer un exploit fonctionnel n’est pas une capacité manquante mais un choix de conception délibéré. MAI-Cyber-1-Flash, dévoilé le 27 juillet 2026, est le premier modèle de sécurité de Microsoft — un modèle Mixture-of-Experts de 137 milliards de paramètres avec 5 milliards actifs par inférence, affiné à partir de la famille MAI-Thinking-1 et intégré dans le harnais d’agent MDASH. CrowdStrike SafeMind, lancé à Fal.Con 2026, est la famille de sécurité agentique que CrowdStrike a construite avec NVIDIA sur la base ouverte NVIDIA Nemotron, associant le Red Tempest offensif au Blue Solano défensif dans une boucle continue au sein de la plateforme Falcon. Tous deux refusent de créer des exploits ; la question intéressante est de savoir si un score ou une boucle constitue la meilleure preuve de défense.

Deux défenseurs, bâtis différemment

L'architecture de Microsoft repose sur le routage. MAI-Cyber-1-Flash est un spécialiste compact et optimisé pour le code qui traite l'essentiel du travail de vulnérabilité courant au sein de MDASH, en reportant les cas les plus difficiles à un modèle de pointe — GPT-5.4 d'OpenAI — lequel gère environ les 10 % de tâches les plus complexes. Cette répartition entre deux modèles a remplacé 80 % de l'ancien mélange de modèles de MDASH et, selon Microsoft, a réduit les coûts d'environ 50 % tout en faisant passer le score CyberGym du système de 88,4 % à 95,95 %. Le modèle est conçu comme un outil exclusivement défensif : il identifie et corrige les vulnérabilités, et il obtient délibérément un score nul dans toutes les catégories ExploitGym — aucun exploit fonctionnel, par construction.

L'architecture de CrowdStrike est l'histoire de la boucle. Red Tempest de SafeMind émule des adversaires IA, Blue Solano déploie des mesures défensives éprouvées au combat, et les bancs d'essai les exécutent en continu contre la télémétrie Falcon, renvoyant les résultats pour que les deux s'améliorent — la boucle de coévolution. Le Nemotron 3 Ultra de NVIDIA orchestre le banc d'essai défensif et un Nemotron 3 Super affiné alimente la génération de règles. Là où Microsoft effectue un routage entre deux modèles pour réduire les coûts, CrowdStrike entraîne deux modèles l'un contre l'autre pour améliorer la détection.

La revendication par rapport au score

MAI-Cyber-1-Flash dispose de preuves plus spécifiques, et il nécessite l’avertissement le plus important. Les 95,95 % sont un score CyberGym Niveau 1 pour le système MDASH — la configuration combinée modèle-plus-harnais-plus-GPT-5.4, et non le modèle autonome. CyberGym L1 teste la reproduction de vulnérabilités connues : générer un code de preuve de concept fonctionnel à partir d’une description et d’un code source non corrigé, et non une découverte aveugle ou l’exactitude des correctifs. Au moment du lancement du modèle, ce résultat ne figurait pas sur le classement public CyberGym, qui affichait toujours la soumission MDASH précédente de Microsoft de 88,4 %. Microsoft rapporte également CVEBench 0,314, CyberSecEval4 0,553 et CRSBench 0,651 — toutes publiées par le fournisseur.

Les preuves de SafeMind sont moins spécifiques et moins vérifiables. CrowdStrike fait état d'un taux de détection supérieur de 29 %, d'une remédiation de bout en bout 6 fois plus rapide et de 99 % d'économies sur la détection et la remédiation par rapport aux principaux modèles frontières et aux références open source ; NVIDIA indique que le modèle Blue Solano a atteint une précision supérieure à celle des principaux modèles frontières, avec un coût inférieur de 99 % lors d'évaluations internes. Aucun score public ne vient s'ajouter au 95,95 % — aucune entrée CyberGym, aucune liste de résultats publiée, aucune apparition au classement. Un système publie un chiffre, l'autre publie un mécanisme ; aucun des deux n'a été vérifié de manière indépendante.

• Détection et triage — Blue Solano de SafeMind génère des candidats de détection à partir de la télémétrie de Falcon et transforme ceux qui sont validés en détections actionnables ; MAI-Cyber-1-Flash est optimisé pour l'analyse de vulnérabilités à forte composante de code et le triage des correctifs dans MDASH.

• Capacité d'exploitation — nulle pour les deux, par conception. MAI-Cyber-1-Flash obtient un score de 0 dans toutes les catégories ExploitGym, ce qui constitue un choix de sécurité explicite ; SafeMind limite ses modèles à des artefacts défensifs, sans génération libre d'exploits.

• Spécifications — {{1}}MAI-Cyber-1-Flash{{/1}}{{2}} : 137B total / 5B actif MoE, contexte 256K{{/2}}. {{3}}SafeMind{{/3}}{{4}} : nombre de paramètres non divulgué, contexte non divulgué{{/4}}.

• Prix — MAI-Cyber-1-Flash n'a pas de prix public de token ni d'API autonome ; le coût de SafeMind est inclus dans la plateforme Falcon.

Accès — deux aperçus privés, une question ouverte

Aucun des deux modèles n'est routable. MAI-Cyber-1-Flash existe comme composant intégré de MDASH, offert via l'aperçu privé Azure AI Foundry aux clients MDASH approuvés — pas d'API générale. SafeMind fonctionne nativement dans la plateforme Falcon, avec un accès autonome verrouillé derrière Project QuiltWorks. Pour une équipe de sécurité en dehors de ces deux programmes d'accès restreint, les modèles ne sont en pratique que des aspirations : les mécanismes sont publics, l'accès ne l'est pas.

Ce qui est appelable aujourd'hui, c'est le palier frontalier général que les deux fournisseurs contournent. Sur OrcaRouter, Claude Opus 5 est disponible au prix catalogue d'Anthropic, soit 5,00 $ par million de jetons en entrée et 25,00 $ par million en sortie, répercuté sans aucune marge — un modèle à contexte de 1M dont les charges de travail d'analyse de sécurité figurent parmi les plus utilisées en production. GPT-5.6 Sol se place à ses côtés à 4,00 $ par million en entrée et 20,00 $ par million en sortie. Une seule clé API donne accès aux deux, ainsi qu'à plus de 200 autres modèles, avec bascule automatique entre fournisseurs — ce qui constitue le substitut pratique du schéma de routage de type MDASH que Microsoft décrit, sans l'aperçu privé. Si la leçon de MAI-Cyber-1-Flash est qu'un spécialiste bon marché associé à un modèle frontalier différé constitue la structure de coûts adaptée aux travaux de sécurité, cette structure est disponible aujourd'hui pour tous, via un routeur qui répercute les prix des fournisseurs eux-mêmes.