CrowdStrike SafeMind vs MAI-Cyber-1-Flash: dwa modele tylko dla obrońców, jeden system zamkniętej pętli

CrowdStrike SafeMind i MAI-Cyber-1-Flash od Microsoftu należą do tego samego młodego klubu: modeli cybernetycznych budowanych defensywnie w pierwszej kolejności, w których generowanie działającego exploita nie jest brakującą funkcją, lecz świadomym wyborem projektowym. MAI-Cyber-1-Flash, zaprezentowany 27 lipca 2026 roku, to pierwszy model zabezpieczeń Microsoftu — model Mixture-of-Experts liczący 137 miliardów parametrów, z 5 miliardami aktywnymi podczas pojedynczej inferencji, dostrojony z rodziny MAI-Thinking-1 i osadzony w środowisku agenta MDASH. CrowdStrike SafeMind, wprowadzony na Fal.Con 2026, to rodzina agentowych zabezpieczeń, którą CrowdStrike zbudował wspólnie z NVIDIA na otwartej bazie NVIDIA Nemotron, łącząc ofensywny Red Tempest z defensywnym Blue Solano w ciągłej pętli wewnątrz platformy Falcon. Oba odmawiają tworzenia exploitów; interesujące pytanie brzmi: czy lepszym dowodem skuteczności obrony jest wynik, czy pętla.

Dwóch obrońców, zbudowanych inaczej.

Architektura Microsoftu to historia routingu. MAI-Cyber-1-Flash to kompaktowy, zoptymalizowany pod kątem kodu model specjalistyczny, który zajmuje się większością rutynowych prac nad lukami w zabezpieczeniach wewnątrz MDASH, odsyłając najtrudniejsze przypadki do modelu granicznego — OpenAI GPT-5.4 — który obsługuje mniej więcej górne 10% zadań. Podział na dwa modele zastąpił 80% dotychczasowej mieszanki modeli MDASH i — według Microsoftu — obniżył koszty o około 50%, jednocześnie podnosząc wynik systemu w CyberGym z 88,4% do 95,95%. Sam model jest zaprojektowany jako narzędzie wyłącznie defensywne: identyfikuje i łata luki w zabezpieczeniach oraz celowo osiąga zero we wszystkich kategoriach ExploitGym — brak działających exploitów, z założenia.

Architektura CrowdStrike to opowieść o pętli. Red Tempest firmy SafeMind emuluje przeciwników AI, Blue Solano wdraża sprawdzone w boju środki obronne, a uprzęże uruchamiają je w sposób ciągły wobec telemetrii Falcon, przekazując wyniki z powrotem, aby obie strony mogły się doskonalić — pętla koewolucji. Nemotron 3 Ultra firmy NVIDIA orkiestruje uprząż obronną, a dostrojony Nemotron 3 Super napędza generowanie reguł. Tam, gdzie Microsoft kieruje ruchem między dwoma modelami, aby obniżyć koszty, CrowdStrike trenuje dwa modele przeciwko sobie, aby poprawić wykrywanie.

Twierdzenie a wynik

MAI-Cyber-1-Flash ma bardziej konkretne dowody i wymaga poważniejszego zastrzeżenia. Wynik 95.95% to ocena CyberGym Level 1 dla systemu MDASH — czyli połączonej konfiguracji modelu, harnessu i GPT-5.4, a nie samego modelu. CyberGym L1 testuje odtwarzanie znanych podatności: generowanie działającego kodu proof-of-concept na podstawie opisu i niezałatanego kodu źródłowego, a nie ślepe wykrywanie lub poprawność poprawek. W momencie premiery modelu wyniku nie było na publicznej liście rankingowej CyberGym, która nadal pokazywała wcześniejsze zgłoszenie Microsoftu, MDASH, z wynikiem 88.4%. Microsoft podaje również CVEBench 0.314, CyberSecEval4 0.553 i CRSBench 0.651 — wszystkie opublikowane przez producenta.

Dowody SafeMind są mniej konkretne i trudniejsze do zweryfikowania. CrowdStrike podaje o 29% wyższy wskaźnik wykrywania, 6-krotnie szybszą remediację end-to-end oraz 99% oszczędności kosztów wykrywania i remediacji w porównaniu z wiodącymi modelami granicznymi i bazowymi modelami open-source; NVIDIA podaje, że model Blue Solano osiągnął wyższą dokładność niż wiodące modele graniczne przy 99% niższych kosztach w ewaluacjach wewnętrznych. Nie ma publicznego wyniku, który można zestawić z 95,95% — brak wpisu w CyberGym, brak opublikowanej listy ustaleń, brak obecności w rankingu. Jeden system publikuje liczbę, drugi publikuje mechanizm; żaden nie został niezależnie zweryfikowany.

• Wykrywanie i triage — Blue Solano firmy SafeMind generuje na podstawie telemetrii Falcon potencjalne wykrycia, a zweryfikowane spośród nich przekształca w wykrycia gotowe do wdrożenia; MAI-Cyber-1-Flash jest zoptymalizowany pod kątem analizy podatności opartej w dużej mierze na kodzie oraz triage'u poprawek w MDASH.

• Zdolność do exploitów — obie są zerowe z założenia. MAI-Cyber-1-Flash uzyskuje wynik 0 we wszystkich kategoriach ExploitGym jako świadomy wybór na rzecz bezpieczeństwa; SafeMind ogranicza swoje modele do artefaktów defensywnych, bez swobodnego generowania exploitów.

• Specyfikacje — MAI-Cyber-1-Flash: 137B łącznie / 5B aktywnych MoE, kontekst 256K. SafeMind: liczba parametrów nieujawniona, kontekst nieujawniony.

• Cena — MAI-Cyber-1-Flash nie ma publicznej ceny tokena ani samodzielnego API; koszt SafeMind jest zawarty w platformie Falcon.

Access — dwie prywatne wersje zapoznawcze, jedno otwarte pytanie

Żaden z modeli nie jest dostępny. MAI-Cyber-1-Flash istnieje jako wbudowany komponent MDASH, oferowany przez prywatną wersję zapoznawczą Azure AI Foundry zatwierdzonym klientom MDASH — bez ogólnego API. SafeMind działa natywnie na platformie Falcon, z samodzielnym dostępem ograniczonym przez Project QuiltWorks. Dla zespołu ds. bezpieczeństwa spoza obu programów zapoznawczych modele te są w praktyce wyłącznie aspiracyjne: mechanizmy są publiczne, dostęp — nie.

To, co dziś można wywołać, to ogólny poziom modeli granicznych, który obaj dostawcy omijają. Na OrcaRouter, Claude Opus 5 jest już dostępny w cenie katalogowej Anthropica: $5.00 za milion tokenów wejściowych i $25.00 za milion tokenów wyjściowych, z zerową marżą — model o kontekście 1M, którego obciążenia związane ze skanowaniem bezpieczeństwa należą do najczęściej wykorzystywanych w produkcji. GPT-5.6 Sol sąsiaduje z nim w cenie $4.00 za milion tokenów wejściowych i $20.00 za milion tokenów wyjściowych. Jeden klucz API daje dostęp do obu oraz ponad 200 innych modeli, z automatycznym przełączaniem awaryjnym między dostawcami — co w praktyce stanowi zamiennik opisanego przez Microsoft wzorca routingu w stylu MDASH, bez prywatnej wersji zapoznawczej. Jeśli lekcja płynąca z MAI-Cyber-1-Flash jest taka, że tani model specjalistyczny plus odroczony model graniczny to właściwa struktura kosztów w zadaniach bezpieczeństwa, to taka struktura jest dziś dostępna dla każdego — za pośrednictwem routera, który przekazuje ceny dostawców bez zmian.