OrcaCyber MiMo V2.6 Flash : même prix que son homologue, sept points de mieux sur CyberGym et quinze points de moins sur la reproduction d’exploits

OrcaCyber MiMo V2.6 Flash Abliterated est disponible depuis aujourd'hui sur la même grille tarifaire que OrcaCyber Flash 1.0 — 0,80 $ en entrée et 1,60 $ en sortie par million de tokens, 0,15 $ pour une lecture de cache, un contexte d'un million de tokens, comportement de refus supprimé. Même prix, même fenêtre, même absence de précautions. Ce qui les distingue, c'est le domaine où chacun excelle, et selon nos propres mesures, les deux profils sont presque des images miroir : la nouvelle version devance CyberGym de sept points et accuse un retard de quinze points sur sa sœur en matière de reproduction d'exploits. Quiconque évalue un modèle qui s'engage directement dans des travaux de sécurité offensive devrait aussi garder en vue l'historique plus large, que the OrcaRouter AI Incident Archive a précisément pour vocation de recueillir. Cet article expose ce qui a été livré, ce que disent les chiffres, et les charges de travail que chaque version mérite réellement.

Ce qui a réellement été livré

MiMo V2.6 Flash est le checkpoint d'efficacité de Xiaomi issu de sa version MiMo-V2.6 de septembre 2026 : un modèle de mélange d'experts clairsemé (sparse mixture-of-experts) comptant 309 milliards de paramètres au total et 15 milliards actifs par token, sous licence MIT, avec un contexte d'un million de tokens. La version OrcaCyber est ce checkpoint dont le comportement de refus a été retiré des poids — de l'abliteration, pas du fine-tuning : pas de corpus de réentraînement, pas de nouvelle architecture, juste les directions de refus du modèle soustraites des matrices qui les portent. C'est le troisième nom de la gamme OrcaCyber, après Nano et Zero, et c'est celui conçu pour le débit.

La surface d'entrée est plus large que celle de son homologue. MiMo V2.6 Flash accepte du texte, des images, de l'audio et de la vidéo et renvoie du texte ; ainsi, un enregistrement d'écran d'une session de console, un appel capturé, un schéma réseau ou une capture d'écran d'un état d'erreur peuvent tous être analysés dans la même requête que du code source et un long journal. La sortie est limitée à 131 072 jetons par réponse. Les modes réflexion et non-réflexion sont tous deux disponibles avec un effort de raisonnement sélectionnable, aux côtés de l'appel de fonctions natif et de la sortie JSON structurée, et le modèle est accessible via Chat Completions, OpenAI Responses et Anthropic Messages.

Le prix est identique, donc le prix ne tranche rien.

Les deux modèles sont à 0,80 $ en entrée et 1,60 $ en sortie par million de tokens, avec les lectures du cache à 0,15 $ — la même fiche tarifaire, au centime près, et aucune marge ajoutée de notre côté. Cela en fait un choix d'une limpidité inhabituelle. Il n'y a pas de modèle moins cher pour se convaincre de le choisir, ni de palier premium à justifier. La seule question est de savoir quel ensemble de lignes correspond au travail qui vous attend.

L’accès est l’autre point commun entre les deux, et il n’est ouvert à aucun appelant : les deux voies se trouvent derrière un engagement, une clé d’accès et les conditions, ce qui est la forme appropriée pour un modèle dont la raison d’être est le travail offensif autorisé. Le prix et les capacités sont publics ; la possibilité d’appeler l’une ou l’autre ne l’est pas.

Deux bases différentes sous des cartes identiques

Les cartes correspondent parce que le prix ne dépend pas de la base, et que les bases ne présentent pas la même forme. MiMo V2.6 Flash est un modèle clairsemé de 309 milliards de paramètres, avec 15 milliards actifs par token ; le checkpoint DeepSeek derrière Flash 1.0 compte 552 milliards de paramètres, avec 16 milliards actifs. Les deux sont sous licence MIT, tous deux ont été modifiés au niveau des poids plutôt que réentraînés, et tous deux arrivent avec le comportement de refus supprimé.

La structure des chiffres est cohérente avec cette différence sans la prouver : la plus petite base démarre plus vite et plafonne sa sortie plus bas, tandis que la plus grande réussit mieux sur les lignes qui exigent de mener une longue chaîne d’exploitation jusqu’à un résultat fonctionnel. Le nombre de paramètres d’un modèle est un piètre prédicteur de n’importe quel benchmark pris isolément ; considérez donc cela comme un contexte pour lire les lignes plutôt que comme une explication de celles-ci.

Là où le nouveau palier l'emporte

• CyberGym — 95,1 % pour MiMo V2.6 Flash contre 88,1 % pour Flash 1.0, soit sept points d'avance sur le tableau du raisonnement cyber.

Premier token médian — 928 ms contre 1 970 ms sur le trafic de notre playground, environ deux fois plus rapide au démarrage, avec un débit de sortie de 765,9 tokens par seconde contre 171,1.

• Types d’entrée — audio et vidéo en plus du texte et de l’image, ce que le modèle homologue n’accepte pas du tout.

Le chiffre de vitesse mérite une mise en garde avant qu’il ne serve à prendre une décision : il provient d’une seule journée d’appels depuis le playground totalisant environ 17 500 tokens, tandis que les chiffres de son homologue proviennent d’une fenêtre de sept jours totalisant 17,5 milliards. Une seule journée sur une nouvelle route mesure davantage une file d’attente vide qu’un modèle. Considérez la direction — cette version est la plus rapide — comme fiable, et le multiple exact comme provisoire jusqu’à ce que la fenêtre se remplisse.

Là où il cède du terrain

• SEC-Bench Pro — 47,5 % contre 62,8 %, un déficit de 15,3 points et l'écart le plus important entre les deux modèles parmi toutes les lignes que nous publions.

• DeepSWE v1.1 — 67,9 % contre 74,2 %, soit 6,3 points de retard.

• Terminal-Bench 2.1 — 87,6 % contre 90,6 %, soit 3,0 points de retard.

• Sortie maximale — 131 072 tokens contre 393 216, soit un tiers de la marge pour un seul long artefact tel qu’un rapport d’audit complet ou une chaîne d’exploitation annotée.

• Lignes pas encore publiées — ExploitGym (15,3 %) et GPQA Diamond (90,9 %) n’existent que pour Flash 1.0 ; la nouvelle version n’a pas encore de chiffre comparable.

La forme de cette liste constitue l’argument. CyberGym récompense le raisonnement sur une surface d’attaque ; SEC-Bench Pro récompense la reproduction de bout en bout d’une vulnérabilité connue, et c’est là que le nouveau modèle est nettement plus faible. Si le travail consiste à faire du triage, de la revue, de l’ingénierie de détection ou à expliquer ce que signifie un journal, le palier rapide est le meilleur outil. Si le travail consiste à transformer un CVE en preuve de concept fonctionnelle, l’avantage de quinze points du modèle homologue est le chiffre qui compte, et aucun gain de latence ne compense une reproduction qui n’aboutit pas.

Ce que ces chiffres sont, et ce qu’ils ne sont pas

Tous les benchmarks de cet article sont les nôtres. Les fiches modèles listent CyberGym, SEC-Bench Pro, DeepSWE, Terminal-Bench, ExploitGym et GPQA Diamond avec notre propre champ source, et aucun des deux modèles OrcaCyber n’a été évalué par un évaluateur indépendant tel qu’Artificial Analysis. Cela compte davantage pour un modèle de sécurité que pour un modèle généraliste, car les benchmarks eux-mêmes sont jeunes et l’écart entre « avoir raisonné sur la vulnérabilité » et « avoir reproduit la vulnérabilité » est précisément l’endroit où une ligne autodéclarée peut flatter un modèle. Lisez ces chiffres comme des données de fournisseur accompagnées d’une méthodologie publiée, et non comme des résultats audités, et retestez-les sur votre propre corpus avant qu’un chemin de production n’en dépende.

Comment choisir

• Développement d’exploits, construction de preuves de concept, validation de correctifs — Flash 1.0. Il obtient 15,3 points de plus sur la ligne de reproduction et 6,3 de plus sur DeepSWE, et aucune de ces deux marges ne s’évapore en cas de nouvelle tentative.

• Triage des journaux et des captures de paquets, revue de code sécurisée à grande échelle, ingénierie de détection, boucles d'agents qui ont besoin d'un premier token rapidement — MiMo V2.6 Flash. L'avance sur CyberGym et la classe de latence pointent toutes deux dans la même direction.

• Livrables longs en une seule passe — Flash 1.0, uniquement sur le plafond de sortie : 393 216 tokens contre 131 072.

• Enregistrements d’écran, audio des appels, diagrammes et tableaux de bord — MiMo V2.6 Flash, le seul des deux à les accepter.

Une fois l’accès activé, les deux modèles se trouvent derrière une seule clé, de sorte que le choix ne doit pas être définitif et ne nécessite ni un second contrat ni une modification de code : aiguillez selon le type de tâche et laissez le basculement automatique couvrir le cas où une route se dégrade en cours d’exécution. Les règles de charge de travail ci-dessus sont les nôtres ; les chiffres sur lesquels elles reposent figurent sur les pages des modèles.

Que regarder

Trois choses changeront ce tableau. La première est un score indépendant : tant que personne à l’extérieur du catalogue n’aura fait tourner ces poids dans un banc d’essai public, l’écart d’exploitabilité de quinze points reste notre mesure et doit être cité comme tel. La deuxième est la fenêtre de latence ; une semaine de trafic réel sur la nouvelle route confirmera la différence de vitesse d’un facteur deux, ou la réduira. La troisième est la fiche de benchmark elle-même — un modèle livré aujourd’hui avec quatre lignes publiées et deux lignes manquantes est un modèle dont le profil se dessine encore. C’est la page du modèle qui est mise à jour en premier.

Note sur les sources : les scores de benchmark, les prix, la limite de contexte et les limites de sortie proviennent des entrées de catalogue propres à OrcaRouter pour OrcaCyber MiMo V2.6 Flash Abliterated et OrcaCyber Flash 1.0, consultées le 26 octobre 2026, et sont autodéclarés plutôt que vérifiés par un tiers ; les chiffres de latence proviennent du trafic de notre playground — un jour et environ 17 500 tokens pour la nouvelle version, sept jours et 17,5 milliards de tokens pour sa version sœur — et ne constituent pas des benchmarks de production. Les détails du modèle de base (309 milliards de paramètres au total, 15 milliards actifs, contexte d'un million de tokens, poids sous licence MIT) proviennent de la publication de MiMo-V2.6 par Xiaomi ; les 552 milliards de paramètres au total et 16 milliards de paramètres actifs du checkpoint DeepSeek V4.1 Flash qui sous-tend Flash 1.0 proviennent du relevé d'Artificial Analysis pour ce modèle. Les recommandations de charge de travail et l'interprétation des lignes de benchmark sont les nôtres.