CrowdStrike SafeMind vs MAI-Cyber-1-Flash: Två Defender-only-modeller, ett slutet loop-system.

CrowdStrike SafeMind och Microsofts MAI-Cyber-1-Flash tillhör samma unga klubb: cybermodeller byggda med försvar i första hand, där att generera en fungerande exploit inte är en saknad förmåga utan ett medvetet designval. MAI-Cyber-1-Flash, som avtäcktes den 27 juli 2026, är Microsofts första säkerhetsmodell – en Mixture-of-Experts-modell med 137 miljarder parametrar och 5 miljarder aktiva per inferens, finjusterad från MAI-Thinking-1-familjen och inbäddad i MDASH-agentramverket. CrowdStrike SafeMind, som lanserades på Fal.Con 2026, är den agentiska säkerhetsfamilj som CrowdStrike byggde med NVIDIA på den öppna NVIDIA Nemotron-basen, och som kopplar samman den offensiva Red Tempest med den defensiva Blue Solano i en kontinuerlig loop inom Falcon-plattformen. Båda vägrar att bygga exploits; den intressanta frågan är om en poäng eller en loop är bättre bevis på försvar.

Två försvarare, byggda olika

Microsofts arkitektur handlar om routing. MAI-Cyber-1-Flash är en kompakt, kodoptimerad specialist som hanterar merparten av det rutinmässiga sårbarhetsarbetet i MDASH, och skjuter de svåraste fallen vidare till en frontmodell — OpenAI:s GPT-5.4 — som hanterar ungefär de 10 procent svåraste uppgifterna. Uppdelningen i två modeller ersatte 80 procent av den tidigare MDASH-modellmixen och, enligt Microsoft, sänkte kostnaderna med cirka 50 procent samtidigt som systemets CyberGym-poäng höjdes från 88,4 % till 95,95 %. Modellen i sig är utformad som ett rent defensivt verktyg: den identifierar och åtgärdar sårbarheter, och den får medvetet noll poäng i alla ExploitGym-kategorier — inga fungerande exploateringar, per konstruktion.

CrowdStrikes arkitektur är berättelsen om loopen. SafeMinds Red Tempest emulerar AI-motståndare, Blue Solano använder beprövade försvarsåtgärder, och selarna kör dem kontinuerligt mot Falcon-telemetri, och matar tillbaka resultaten så att båda förbättras — koevolutionsloopen. NVIDIAs Nemotron 3 Ultra orkestrerar försvarsselen och en finjusterad Nemotron 3 Super driver regelgenerering. Där Microsoft dirigerar mellan två modeller för att spara kostnader, tränar CrowdStrike två modeller mot varandra för att förbättra detektionen.

Påståendet mot poängen

MAI-Cyber-1-Flash har de mer specifika bevisen, och det krävs ett större förbehåll. De 95,95 % är ett CyberGym Nivå 1-resultat för MDASH-systemet — konfigurationen modell-plus-harness-plus-GPT-5.4, inte den fristående modellen. CyberGym L1 testar reproduktion av kända sårbarheter: att generera fungerande proof-of-concept-kod från en beskrivning och opatchad källkod, inte blind upptäckt eller korrekt patchning. Vid tidpunkten för modellens lansering fanns resultatet inte på den offentliga CyberGym-ledartavlan, som fortfarande visade Microsofts tidigare MDASH-inskickning på 88,4 %. Microsoft rapporterar också CVEBench 0,314, CyberSecEval4 0,553 och CRSBench 0,651 — allt publicerat av leverantören.

SafeMinds bevis är mindre specifikt och mindre verifierbart. CrowdStrike rapporterar 29 % högre detektionsgrad, 6x snabbare end-to-end-åtgärdande och 99 % kostnadsbesparingar för detektering och åtgärdande jämfört med ledande frontmodeller och open source-baslinjer; NVIDIA rapporterar att Blue Solano-modellen nådde högre noggrannhet än ledande frontmodeller till 99 % lägre kostnad i interna utvärderingar. Det finns inget offentligt resultat att ställa bredvid 95,95 % – ingen CyberGym-post, ingen publicerad fyndlista, ingen leaderboard-förekomst. Det ena systemet publicerar en siffra, det andra publicerar en mekanism; ingetdera har oberoende verifierats.

• Detektering och triage — SafeMinds Blue Solano genererar detekteringskandidater från Falcon-telemetri och uppgraderar validerade sådana till åtgärdbara detekteringar; MAI-Cyber-1-Flash är optimerad för kodtung sårbarhetsanalys och patch-triage i MDASH.

Exploit-förmåga — båda är noll av design. MAI-Cyber-1-Flash får 0 inom ExploitGym-kategorierna som ett explicit säkerhetsval; SafeMind begränsar sina modeller till defensiva artefakter utan fri-form-generering av exploits.

• Specifikationer — MAI-Cyber-1-Flash: 137B totalt / 5B aktiv MoE, 256K kontext. SafeMind: parametrar ej offentliggjorda, kontext ej offentliggjord.

• Pris — MAI-Cyber-1-Flash har inget offentligt tokenpris och inget fristående API; SafeMinds kostnad ingår i Falcon-plattformen.

Access — två privata förhandsvisningar, en öppen fråga

Ingen av modellerna är dirigerbar. MAI-Cyber-1-Flash finns som en inbäddad komponent i MDASH, som erbjuds via Azure AI Foundrys privata förhandsversion till godkända MDASH-kunder — inget offentligt API. SafeMind fungerar nativt i Falcon-plattformen, med fristående åtkomst som kontrolleras via Project QuiltWorks. För ett säkerhetsteam utanför båda förhandsversionerna är modellerna i praktiken endast mål att sträva mot: mekanismerna är offentliga, men åtkomsten är det inte.

Det som kan anropas idag är den allmänna frontier-nivån som båda leverantörerna dirigerar runt. På OrcaRouter, Claude Opus 5 är live till Anthropic's listpris på 5,00 USD per miljon inmatningstokens och 25,00 USD per miljon utmatning, genomfakturerad utan påslag — en 1M-kontextmodell vars arbetsbelastningar för säkerhetsskanning är bland de mest använda i produktion. GPT-5.6 Sol finns bredvid den till 4,00 USD per miljon inmatning och 20,00 USD per miljon utmatning. En enda API-nyckel ger tillgång till båda plus 200+ andra modeller, med automatisk failover mellan leverantörer — vilket är den praktiska motsvarigheten till det MDASH-liknande routningsmönster som Microsoft beskriver, utan den privata förhandsvisningen. Om lärdomen från MAI-Cyber-1-Flash är att en billig specialist plus en uppskjuten frontier-modell är rätt kostnadsform för säkerhetsarbete, så är den formen tillgänglig idag för alla, via en router som vidareförmedlar leverantörernas egna priser.