OrcaCyber MiMo V2.6 Flash: Zelfde prijs als het zustermodel, zeven punten beter op CyberGym en vijftien slechter op Exploit Reproduction

OrcaCyber MiMo V2.6 Flash Abliterated is vandaag live gegaan op dezelfde tariefkaart als OrcaCyber Flash 1.0 — $0,80 voor input en $1,60 voor output per miljoen tokens, $0,15 voor een cache-lees, een context van een miljoen tokens, weigeringsgedrag verwijderd. Dezelfde prijs, hetzelfde venster, dezelfde afwezigheid van voorbehouden. Wat ze onderscheidt, is waar elk van beide sterk in is, en volgens onze eigen metingen zijn de twee profielen bijna elkaars spiegelbeeld: de nieuwe build scoort zeven punten hoger op CyberGym en vijftien punten lager dan zijn zustermodel bij exploitreproductie. Wie een model overweegt dat zich rechtstreeks bezighoudt met offensief beveiligingswerk, moet ook het bredere dossier in het oog houden, en dat is precies waarvoor het OrcaRouter AI Incident Archive bestaat: om te verzamelen. Deze post zet uiteen wat er is uitgebracht, wat de cijfers zijn en welke workloads elke build daadwerkelijk verdient.

Wat er daadwerkelijk is uitgebracht

MiMo V2.6 Flash is Xiaomi's efficiëntie-checkpoint uit de MiMo-V2.6-release van september 2026: een schaars mixture-of-expertsmodel met in totaal 309 miljard parameters en 15 miljard actief per token, onder MIT-licentie, met een context van een miljoen tokens. De OrcaCyber-build is dat checkpoint waarbij weigeringsgedrag uit de gewichten is bewerkt — abliteration, geen fine-tuning: geen nieuwe trainingscorpus, geen nieuwe architectuur, alleen de richtingen waarlangs het model weigert, afgetrokken van de matrices die ze dragen. Het is de derde naam in de OrcaCyber-reeks, na Nano en Zero, en het is degene die op doorvoer is gebouwd.

Het invoeroppervlak is breder dan dat van zijn zustermodel. MiMo V2.6 Flash accepteert tekst, afbeeldingen, audio en video en retourneert tekst, dus een schermopname van een consolesessie, een opgenomen oproep, een netwerkdiagram of een screenshot van een foutstatus kunnen allemaal in hetzelfde verzoek als broncode en een lang log worden beredeneerd. De uitvoer is beperkt tot 131.072 tokens per reactie. Zowel denk- als niet-denkmodi zijn beschikbaar met selecteerbare redeneerinspanning, naast native functieaanroepen en gestructureerde JSON-uitvoer, en het model is bereikbaar via Chat Completions, OpenAI Responses en Anthropic Messages.

De prijs is identiek, dus de prijs beslist niets

Beide modellen zitten op $0,80 input en $1,60 output per miljoen tokens, met cache-reads op $0,15 — dezelfde prijskaart, tot op de cent, en zonder dat wij er opslag bij rekenen. Dat maakt dit een uitzonderlijk zuivere keuze. Er is geen goedkoper model om jezelf in te praten en geen premiumlaag die je moet rechtvaardigen. De enige vraag is welke set rijen past bij het werk dat voor je ligt.

Toegang is het andere dat de twee gemeen hebben, en die staat niet open voor elke aanvrager: beide routes bevinden zich achter een opdracht, een passkey en de voorwaarden, wat de juiste vorm is voor een model waarvan het doel geautoriseerd offensief werk is. Prijs en capaciteit zijn openbaar; de mogelijkheid om een van beide aan te roepen niet.

Twee verschillende bases onder identieke kaarten

De kaarten komen overeen omdat de prijs niet afhangt van de basis, en de basissen niet dezelfde vorm hebben. MiMo V2.6 Flash is een sparse model met 309 miljard parameters en 15 miljard actief per token; het DeepSeek-checkpoint achter Flash 1.0 heeft 552 miljard parameters met 16 miljard actief. Beide zijn MIT-gelicenseerd, beide zijn op gewichtniveau bewerkt in plaats van opnieuw getraind, en beide komen zonder weigeringsgedrag.

Het patroon in de cijfers is consistent met dat verschil zonder het te bewijzen: de kleinere base start sneller en heeft een lager uitvoerplafond, terwijl de grotere beter presteert op de rijen waarbij een lange exploitketen moet worden doorgetrokken tot een werkend resultaat. Het aantal parameters van een model is een slechte voorspeller voor welke afzonderlijke benchmark dan ook, dus beschouw dit als context om de rijen te lezen, niet als een verklaring ervoor.

Waar het nieuwe niveau wint

• CyberGym — 95,1% voor MiMo V2.6 Flash tegenover 88,1% voor Flash 1.0, een voorsprong van zeven punten op de ranglijst voor cyberredeneren.

• Mediane eerste token — 928 ms tegenover 1.970 ms op ons playgroundverkeer, ongeveer twee keer zo snel om te starten, met een uitvoersnelheid van 765,9 tokens per seconde tegenover 171,1.

• Invoertypes — audio en video bovenop tekst en afbeelding, die de tegenhanger helemaal niet accepteert.

Het snelheidscijfer verdient een voorbehoud voordat het wordt gebruikt om een beslissing te nemen: het komt uit één dag aan playground-aanroepen met in totaal ongeveer 17.500 tokens, terwijl de cijfers van het zustermodel uit een venster van zeven dagen komen met 17,5 miljard. Eén dag op een nieuwe route meet een lege wachtrij meer dan dat het een model meet. Beschouw de richting — deze build is de snellere — als betrouwbaar, en de exacte factor als voorlopig totdat het venster zich vult.

Waar het terrein prijsgeeft

• SEC-Bench Pro — 47,5% tegenover 62,8%, een achterstand van 15,3 punten en de grootste kloof tussen de twee modellen van alle rijen die we publiceren.

• DeepSWE v1.1 — 67,9% tegen 74,2%, 6,3 punten achter.

• Terminal-Bench 2.1 — 87,6% tegenover 90,6%, 3,0 punten achter.

Maximale uitvoer — 131.072 tokens tegenover 393.216, een derde van de ruimte voor één lang artefact, zoals een volledig auditrapport of een geannoteerde exploitketen.

• Rijen nog niet gepubliceerd — ExploitGym (15,3%) en GPQA Diamond (90,9%) bestaan alleen voor Flash 1.0; de nieuwe build heeft nog geen vergelijkbaar cijfer.

De vorm van die lijst is het argument. CyberGym beloont redeneren over een aanvalsoppervlak; SEC-Bench Pro beloont het end-to-end reproduceren van een bekende kwetsbaarheid, en daar is het nieuwe model aanzienlijk zwakker. Gaat het om triage, review, detection engineering of uitleggen wat een log betekent, dan is de snelle tier het betere instrument. Gaat het om een CVE omzetten in een werkend proof of concept, dan is de vijftienpuntvoorsprong van het zustermodel het getal dat ertoe doet, en geen enkele hoeveelheid latency compenseert een reproductie die niet slaagt.

Wat deze getallen zijn, en wat ze niet zijn

Elke benchmark in dit bericht is van ons. De modelkaarten vermelden CyberGym, SEC-Bench Pro, DeepSWE, Terminal-Bench, ExploitGym en GPQA Diamond met ons eigen bronveld, en geen van beide OrcaCyber-modellen is beoordeeld door een onafhankelijke evaluator zoals Artificial Analysis. Dat is belangrijker voor een securitymodel dan voor een algemeen model, omdat de benchmarks zelf jong zijn en de kloof tussen "heeft nagedacht over de kwetsbaarheid" en "heeft de kwetsbaarheid gereproduceerd" precies het punt is waarop een zelfgerapporteerde rij een model gunstiger kan doen lijken. Lees de cijfers als leverancierscijfers met een gepubliceerde methodologie, niet als geauditeerde resultaten, en test opnieuw op je eigen corpus voordat een productiepad ervan afhankelijk wordt.

Hoe te kiezen

Exploitontwikkeling, het bouwen van proof-of-concepts, patchvalidatie — Flash 1.0. Het scoort 15,3 punten beter op de reproductierij en 6,3 beter op DeepSWE, en geen van beide is een marge die bij een nieuwe poging verdampt.

• Log- en packet-capture-triage, secure code review op schaal, detection engineering, agentloops die snel een eerste token nodig hebben — MiMo V2.6 Flash. De CyberGym-voorsprong en de latentieklasse wijzen beide dezelfde kant op.

• Lange deliverables in één pass — Flash 1.0, puur op outputplafond: 393,216 tokens tegenover 131,072.

• Schermopnames, gespreksaudio, diagrammen en dashboards — MiMo V2.6 Flash, de enige van de twee die deze accepteert.

Zodra toegang is ingeschakeld, staan beide modellen achter één sleutel, dus de keuze hoeft niet permanent te zijn en vereist geen tweede contract of codewijziging: routeer op taaktype en laat automatische failover het geval afdekken waarin één route tijdens de uitvoering verslechtert. De bovenstaande workloadregels zijn van ons; de cijfers waarop ze berusten staan op de modelpagina's.

Wat te kijken

Drie dingen zullen dit beeld veranderen. Het eerste is een onafhankelijke score: totdat iemand buiten de catalogus deze gewichten door een publieke harness laat lopen, is de exploitkloof van vijftien punten onze meting en moet die als zodanig worden aangehaald. Het tweede is het latentievenster; een week echt verkeer op de nieuwe route zal het snelheidsverschil van tweemaal ofwel bevestigen, ofwel verkleinen. Het derde is het benchmarkblad zelf — een model dat vandaag wordt uitgebracht met vier gepubliceerde rijen en twee ontbrekende rijen is een model waarvan het profiel nog in wording is. De modelpagina is de plek die het eerst wordt bijgewerkt.

Bronvermelding: benchmarkscores, prijzen, context- en uitvoerlimieten zijn de eigen catalogusvermeldingen van OrcaRouter voor OrcaCyber MiMo V2.6 Flash Abliterated en OrcaCyber Flash 1.0, gelezen op 26 oktober 2026, en zijn zelfgerapporteerd in plaats van onafhankelijk gecontroleerd; latentiecijfers zijn ons playgroundverkeer — één dag en ongeveer 17.500 tokens voor de nieuwe build, zeven dagen en 17,5 miljard tokens voor het zustermodel — en zijn geen productiebenchmarks. Details van het basismodel (309 miljard totale parameters, 15 miljard actieve, context van één miljoen tokens, MIT-gewichten) komen uit Xiaomi's MiMo-V2.6-release; de 552 miljard totale en 16 miljard actieve parameters voor het DeepSeek V4.1 Flash-checkpoint achter Flash 1.0 zijn de registratie van dat model door Artificial Analysis. De aanbevelingen voor workloads en de interpretatie van de benchmarkrijen zijn van ons.