OrcaCyber MiMo V2.6 Flash: Samma pris som sitt syskon, sju poäng bättre på CyberGym och femton sämre på Exploit Reproduction

OrcaCyber MiMo V2.6 Flash Abliterated lanserades i dag med samma prislista som OrcaCyber Flash 1.0 — 0,80 USD för indata och 1,60 USD för utdata per miljon token, 0,15 USD för cacheläsning, en kontext på en miljon token och borttaget vägransbeteende. Samma pris, samma fönster, samma brist på förbehåll. Det som skiljer dem åt är var de är starka, och enligt våra egna mätningar är de två profilerna nästan spegelbilder: den nya versionen ligger sju poäng före på CyberGym och femton poäng efter sin syskonversion när det gäller återgivning av exploits. Den som överväger en modell som direkt arbetar med offensivt säkerhetsarbete bör också ha det bredare underlaget i åtanke, vilket är vad OrcaRouter AI Incident Archive finns för att samla in. Det här inlägget redogör för vad som har lanserats, vad siffrorna är och vilka arbetsbelastningar varje version faktiskt lämpar sig för.

Vad som faktiskt levererades

MiMo V2.6 Flash är Xiaomis effektivitetscheckpoint från lanseringen av MiMo-V2.6 i september 2026: en gles mixture-of-experts-modell med 309 miljarder parametrar totalt och 15 miljarder aktiva per token, MIT-licensierad, med en kontext på en miljon token. OrcaCyber-bygget är den checkpointen med vägransbeteendet bortredigerat ur vikterna – abliteration, inte finjustering: ingen ny träningskorpus, ingen ny arkitektur, bara de riktningar längs vilka modellen vägrar, subtraherade från matriserna som bär dem. Det är det tredje namnet i OrcaCyber-serien, efter Nano och Zero, och det är den som är byggd för genomströmning.

Indataytan är bredare än syskonmodellens. MiMo V2.6 Flash tar emot text, bild, ljud och video och returnerar text, så en skärminspelning av en konsolsession, ett inspelat samtal, ett nätverksdiagram eller en skärmbild av ett feltillstånd kan alla ingå i resonemang i samma förfrågan som källkod och en lång logg. Utdata är begränsad till 131,072 token per svar. Både tänkande och icke-tänkande lägen är tillgängliga med valbar resonemangsansträngning, tillsammans med inbyggt funktionsanrop och strukturerad JSON-utdata, och modellen kan nås via Chat Completions, OpenAI Responses och Anthropic Messages.

Priset är identiskt, så priset avgör ingenting

Båda modellerna ligger på 0,80 USD för indata och 1,60 USD för utdata per miljon tokens, med cacheläsningar på 0,15 USD – samma prislista, på öret, och inget påslag från vår sida. Det gör detta till ett ovanligt okomplicerat val. Det finns ingen billigare modell att intala sig att välja och ingen premiumnivå att motivera. Den enda frågan är vilken uppsättning rader som matchar arbetet framför dig.

Åtkomst är det andra de två har gemensamt, och den är inte öppen för vilken anropare som helst: båda vägarna ligger bakom ett uppdrag, en passkey och villkoren, vilket är rätt utformning för en modell vars syfte är auktoriserat offensivt arbete. Pris och kapacitet är offentliga; möjligheten att anropa endera är det inte.

Två olika baser under identiska kort

Korten matchar eftersom priset inte beror på basen, och baserna har inte samma form. MiMo V2.6 Flash är en gles modell med 309 miljarder parametrar och 15 miljarder aktiva per token; DeepSeek-checkpointen bakom Flash 1.0 har 552 miljarder parametrar med 16 miljarder aktiva. Båda är MIT-licensierade, båda redigerades på viktnivå i stället för att tränas om, och båda levereras med vägransbeteendet borttaget.

Mönstret i siffrorna stämmer överens med den skillnaden utan att bevisa den: den mindre basen startar snabbare och har lägre tak för utdata, medan den större gör bättre ifrån sig på de rader som kräver att en lång exploitkedja bärs hela vägen till ett fungerande resultat. En modells parameterantal är en dålig förutsägare för ett enskilt benchmark, så behandla detta som kontext för att läsa raderna snarare än som en förklaring av dem.

Där den nya nivån vinner

• CyberGym — 95,1 % för MiMo V2.6 Flash mot 88,1 % för Flash 1.0, en ledning på sju procentenheter på cyberresonemangstavlan.

• Median för första token — 928 ms mot 1 970 ms i vår playground-trafik, ungefär dubbelt så snabb att starta, med en utmatningshastighet på 765,9 token per sekund mot 171,1.

• Indatatyper – ljud och video utöver text och bild, vilket syskonmodellen inte accepterar alls.

Siffran för hastigheten förtjänar en varning innan den används för att fatta ett beslut: den kommer från en dag med playground-anrop som totalt omfattar cirka 17 500 tokens, medan syskonets siffror kommer från ett sjudagarsfönster som omfattar 17,5 miljarder. En enda dag på en ny väg mäter en tom kö mer än den mäter en modell. Betrakta riktningen – den här byggversionen är den snabbare – som tillförlitlig, och den exakta multipeln som provisorisk tills fönstret fylls.

Där det ger vika

• SEC-Bench Pro — 47,5 % mot 62,8 %, ett underskott på 15,3 procentenheter och det största gapet mellan de två modellerna på någon rad vi publicerar.

• DeepSWE v1.1 — 67,9 % mot 74,2 %, 6,3 poäng efter.

• Terminal-Bench 2.1 — 87,6 % mot 90,6 %, 3,0 poäng efter.

• Maximal utdata — 131 072 tokens mot 393 216, en tredjedel av utrymmet för en enda lång artefakt som en fullständig granskningsrapport eller en annoterad exploitkedja.

• Rader som ännu inte publicerats – ExploitGym (15,3 %) och GPQA Diamond (90,9 %) finns endast för Flash 1.0; den nya versionen har ännu ingen jämförbar siffra.

Formen på den listan är argumentet. CyberGym belönar resonemang om en attackyta; SEC-Bench Pro belönar att reproducera en känd sårbarhet från början till slut, och det är där den nya modellen är väsentligt svagare. Om arbetet handlar om triage, granskning, detection engineering eller att förklara vad en logg betyder, är den snabba nivån det bättre instrumentet. Om arbetet handlar om att förvandla en CVE till ett fungerande proof of concept, är syskonmodellens femtonpoängsförsprång siffran som spelar roll, och ingen mängd latens kompenserar för en reproduktion som inte lyckas.

Vad dessa siffror är, och vad de inte är

Varje benchmark i det här inlägget är vår egen. Modellkorten listar CyberGym, SEC-Bench Pro, DeepSWE, Terminal-Bench, ExploitGym och GPQA Diamond med vårt eget källfält, och ingen av OrcaCyber-modellerna har poängsatts av en oberoende utvärderare som Artificial Analysis. Det spelar större roll för en säkerhetsmodell än för en allmän modell, eftersom benchmarkarna i sig är unga och gapet mellan "resonerat om sårbarheten" och "återskapat sårbarheten" är precis där en självrapporterad rad kan smickra en modell. Läs siffrorna som leverantörssiffror med en publicerad metodik, inte som granskade resultat, och testa igen på din egen korpus innan en produktionsväg beror på dem.

Hur man väljer

• Utveckling av exploits, konstruktion av proof of concept, patchvalidering – Flash 1.0. Det är 15,3 poäng bättre på reproduktionsraden och 6,3 bättre på DeepSWE, och ingen av dem är en marginal som försvinner vid omförsök.

• Triage av loggar och paketfångster, säker kodgranskning i stor skala, detekteringsutveckling, agentloopar som snabbt behöver en första token – MiMo V2.6 Flash. CyberGym-ledningen och latensklassen pekar båda åt samma håll.

• Långa leveranser i en enda omgång — Flash 1.0, enbart sett till utdatataket: 393 216 token mot 131 072.

• Skärminspelningar, samtalsljud, diagram och dashboards – MiMo V2.6 Flash, som är den enda av de två som accepterar dem.

När åtkomst väl har aktiverats ligger båda modellerna bakom en och samma nyckel, så valet behöver inte vara permanent och kräver varken ett andra avtal eller någon kodändring: routa efter uppgiftstyp och låt automatisk failover täcka fallet där en väg försämras under pågående körning. Reglerna för arbetsbelastning ovan är våra; siffrorna de bygger på finns på modellsidorna.

Vad du ska titta på

Tre saker kommer att förändra den här bilden. Det första är en oberoende poäng: tills någon utanför katalogen kör dessa vikter genom en offentlig testram är exploit-gapet på femton punkter vårt mått och bör citeras som sådant. Det andra är latensfönstret; en vecka med verklig trafik på den nya rutten kommer antingen att bekräfta hastighetsskillnaden på två gånger eller minska den. Det tredje är själva benchmarkbladet – en modell som lanseras i dag med fyra rader publicerade och två rader saknade är en modell vars profil fortfarande ritas. Modellsidan är platsen som uppdateras först.

Källnot: benchmarkpoäng, priser, kontext- och utdatagränser är OrcaRouters egna katalogposter för OrcaCyber MiMo V2.6 Flash Abliterated och OrcaCyber Flash 1.0, avlästa den 26 oktober 2026, och är självrapporterade i stället för oberoende granskade; latenssiffrorna är vår playground-trafik – en dag och ungefär 17 500 tokens för den nya versionen, sju dagar och 17,5 miljarder tokens för dess syskon – och är inte produktionsbenchmarkar. Uppgifterna om basmodellen (309 miljarder parametrar totalt, 15 miljarder aktiva, kontext på en miljon tokens, MIT-vikter) kommer från Xiaomis lansering av MiMo-V2.6; de 552 miljarder parametrarna totalt och 16 miljarder aktiva parametrar för DeepSeek V4.1 Flash-checkpointen bakom Flash 1.0 är den uppgift om modellen som kommer från Artificial Analysis. Rekommendationerna för arbetsbelastning och tolkningen av benchmarkraderna är våra.