OrcaCyber Zero 1.0 et la réserve de 150 000 $ : OrcaRouter rejoint la Fondation Omacom en tant que mécène d'entreprise distingué

OrcaRouter a rejoint Omacom Foundation en tant que Mécène d'entreprise distingué, avec un don de 150 000 $ en tokens aux réserves stratégiques de tokens de la Fondation. Cette réserve est destinée aux travaux de sécurité, en priorité aux équipes de sécurité et du noyau de la Fondation, et non à l'inférence générale. Le premier modèle sur lequel ces équipes s'appuieront est OrcaCyber Zero 1.0, notre modèle de codage post-entraîné pour l'analyse des vulnérabilités, leur reproduction et la recherche en sécurité, qui est aujourd'hui en bêta fermée. Voilà pour l'annonce ; le reste de cette page présente le raisonnement qui la sous-tend.

Le raisonnement a commencé par le trafic. Au cours des 30 jours précédant cette annonce, nos modèles ont franchi la barre des 1,5 million de téléchargements sur Hugging Face, et la forme de ce qui transitait par le routeur a changé en même temps.

La question du modèle le moins cher pour ce résumé a cessé d’être la seule à se poser ; « quelque chose ici peut-il lire ce crash, ce correctif ou ce rapport et me dire ce qu’il est réellement » est devenue courante. Un routeur est le mauvais endroit pour répondre à cette question, et un bon endroit pour la repérer. Donc, plutôt que de brader l’inférence générale, qui est déjà bon marché et le devient de plus en plus, nous payons pour la partie du travail où une mauvaise réponse coûte le plus cher.

Qu'est-ce qu'OrcaRouter a rejoint, et où vont les jetons ?

Distinguished Corporate Patron est le niveau pour entreprises d’Omacom Foundation. Le mécénat est un don unique plutôt qu’un abonnement, et le don s’élève à 150 000 $ en jetons versés dans les Strategic Token Reserves, un pool unique dans lequel les équipes d’Omacom Foundation puisent pour leur propre travail.

La destination compte plus que le montant. Une réserve n'est pas un coupon, et rien de tout cela n'est livré sous forme de niveau gratuit ni de code de réduction. Les jetons sont dépensés lorsqu'un ingénieur de la Foundation exécute une tâche réelle via OrcaRouter, la même couche de routage que celle qu'emprunte tout autre utilisateur. Nous préférons financer la puissance de calcul derrière une question d'ingénierie précise (ce bug se reproduit-il, ce correctif tient-il) plutôt que de garantir un ensemble ouvert de conversations.

Pourquoi le don est-il destiné au travail de sécurité et non à l'inférence générale

L’inférence générale est la moitié résolue de ce marché. Un modèle général compétent est disponible à bas coût, le routage vers celui-ci est presque une commodité, et 150 000 $ supplémentaires de capacité générale n’apportent à une équipe que très peu de ce qu’elle ne peut déjà acheter. Le token marginal y vaut à peu près ce qu’il coûte.

Le travail de sécurité se comporte différemment de trois manières qui comptent pour celui qui paie la facture.

• Les tâches sont longues. Lire un rapport, construire un reproducteur et vérifier un correctif ne se font pas en un seul tour, et cela consomme des jetons d'une manière que la synthèse ne fait pas.

• Les modèles qui les accomplissent bien sont spécialisés plutôt que généraux.

• Le travail comporte une réponse vérifiable : une vulnérabilité se reproduit ou non.

C’est cette dernière propriété qui rend la dépense défendable. Nous ne finançons pas des opinions sur la sécurité. Nous finançons des tentatives qui aboutissent à quelque chose qu’une équipe du noyau peut examiner et accepter ou rejeter.

À quoi OrcaCyber Zero 1.0 a-t-il été entraîné ?

Trois postes, tous des postes de sécurité : analyse de vulnérabilités, reproduction de vulnérabilités et recherche en sécurité.

L’analyse est la tâche de lecture : à partir d’un rapport, d’un diff ou d’un composant, déterminer quelle est la faille et où elle se situe. La reproduction est la tâche de construction, et c’est ce qui distingue un modèle de sécurité d’un modèle de codage général auquel on a accolé un prompt système sévère : produire une entrée qui déclenche réellement la condition, et non une description de celle-ci. La recherche en sécurité est la partie ouverte, où personne ne vous remet un ticket bien propre et où il faut d’abord trouver la cible.

Le résultat mesuré dont nous disposons couvre le travail de reproduction. Sur CyberGym Level 1, un benchmark issu de 188 projets open source, OrcaCyber Zero 1.0 reproduit 1 478 des 1 507 vulnérabilités du monde réel dès la première tentative, soit un taux de réussite de 98,07 %. Première tentative : c'est le chiffre à lire deux fois. La mesure n'offre pas de seconde chance, et une fenêtre de publication non plus. Ce qu'est le modèle et où il se situe dans le catalogue se trouve sur la OrcaCyber Zero 1.0page

Où se situe réellement le périmètre : les appels qu'un modèle effectue

Zero 1.0 lit et reproduit les failles dans le code. Il ne dit rien de la couche que la plupart des équipes construisent désormais autour de lui. Dès qu’on confie des outils à un modèle, les défaillances intéressantes cessent d’être du texte et deviennent des appels : l’outil qu’il choisit, les arguments qu’il transmet, si le résultat qu’il reçoit a le droit de modifier ce qu’il fait ensuite. Un modèle qui lit bien le C ne protège pas un pipeline dans lequel on peut convaincre un agent d’appeler le mauvais point de terminaison avec les mauvais arguments.

C'est la seconde moitié du travail de sécurité ici, et c'est pourquoi le mot « sécurité » dans notre catalogue ne commence et ne s'arrête pas à la recherche sur les vulnérabilités. Les équipes qui exécutent des agents contre des systèmes internes doivent traiter la couche d'appel comme une surface d'attaque, ce qui est le problème qu'un pare-feu d'agents pour les appels d'outils et MCP est là pour résoudre. Le travail sur le noyau et le travail de sécurité voient les deux moitiés de cela, et la réserve couvre les deux.

Que signifie la bêta fermée pour une équipe qui souhaite y avoir accès ?

L'accès est accordé par cas d'usage, et non activé pour tout le monde. OrcaCyber Zero 1.0 est en bêta fermée, et le périmètre est volontairement restreint : recherche en sécurité de confiance, analyse et reproduction de vulnérabilités, et workflows red-team. « Fermé » est le mot qui compte, et l'accès est limité à ces travaux plutôt qu'au trafic général du modèle.

En pratique, la demande qui avance le plus vite est celle qui arrive avec une cible attachée : un composant que vous maintenez, une classe de vulnérabilité que vous traquez, un engagement que vous menez ce trimestre. Si vous voulez participer, dites vers quoi vous avez l'intention de pointer le modèle. Les demandes de chat général ne passent pas devant une équipe de sécurité qui détient un cas de test réel, et elles ne le devraient pas. La bêta s'élargit à mesure que l'évaluation tient la route ; nous ne l'ouvrons pas plus vite que nous ne pouvons juger ce qui nous revient.

Comment la réserve est dépensée

Les tokens d'une réserve ne sont pas attribués à un seul modèle, et le mécanisme mérite un paragraphe, car il explique la forme du don. Les requêtes arrivent au routeur, et le routage adaptatif décide où chacune va. En pratique, la répartition ressemble à ceci.

• Revue de correctifs, triage des plantages, une tentative de reproduction — Où cela mène La voie optimisée pour la sécurité : OrcaCyber Zero 1.0 vs Pourquoi c'est long, c'est spécialisé, et la réponse est vérifiable

• Notes de version, résumés de journal des modifications, noms de tests, docstring d'un script — Où cela va : un modèle général tel que GLM 5.3 Flash vs Pourquoi il coûte moins cher et est mieux adapté à la tâche

C'est pourquoi le don se fait en jetons plutôt que sous la forme d'un accès gratuit à un seul modèle. Les équipes de la Foundation bénéficient des mêmes décisions de routage que tout le monde, la route de sécurité étant disponible lorsqu'une tâche le mérite et non imputée à leur réserve lorsque ce n'est pas le cas. Une réserve utilisée de cette manière dure plus longtemps qu'une réserve consacrée à un seul modèle, et elle laisse le choix du modèle à la personne qui connaît la tâche.

Le point à retenir

Le travail de sécurité est le bon endroit pour cet argent, et la raison n’est pas sentimentale. L’inférence générale est une commodité dont le prix baisse ; la reproduction de vulnérabilités est une tâche à la réponse vérifiable et au coût élevé par tentative, et c’est là qu’un jeton donné fournit un travail mesurable. Une équipe noyau ne se soucie pas de la façon dont un modèle sonne. Elle se soucie de savoir si le reproducteur s’exécute.

Si vous passez déjà par nous, rien ne change pour votre trafic cette semaine. Ce qui change, c'est de notre côté : le modèle que nous considérons comme la chose la plus déterminante que nous ayons construite a désormais un premier utilisateur exigeant, un utilisateur confronté à un problème difficile et sans patience pour une réponse fausse qui sonne plausible. C'est un meilleur test que n'importe quel post de lancement, et nous préférons être évalués à cette aune.

Note sur les sources : les chiffres rapportés par le fournisseur sont le don de jetons de 150 000 $ aux Strategic Token Reserves de l'Omacom Foundation, la portée à laquelle cette réserve est destinée, ainsi que le statut de bêta fermée et les conditions d'accès d'OrcaCyber Zero 1.0. Notre propre mesure est le résultat CyberGym Level 1 de 1 478 reproductions réussies du premier essai sur 1 507, soit un taux de réussite de 98,07 %, sur un benchmark issu de 188 projets open source, que nous avons exécuté nous-mêmes. Les données rapportées par la plateforme sont les 1,5 million de téléchargements de nos modèles sur Hugging Face au cours des 30 jours précédant cette annonce, tirés des propres compteurs de la plateforme. Rien ici ne cite un tiers pour un chiffre, et aucun tiers extérieur n'est crédité d'une découverte. Publié le 2026-09-19, chiffres vérifiés par rapport à nos propres registres le jour même.