- 모델 스펙: MAI-Cyber-1-Flash는 137B 총 파라미터 중 5B만 활성화하는 sparse Mixture-of-Experts 구조의 파인튜닝 모델로, 256k 토큰 컨텍스트 윈도우를 지원한다.
- 배치 방식: 단독 API로 노출되지 않고 Microsoft의 다중 모델 에이전트 스캐닝 하네스 MDASH 내부에서만 작동하며, 한 번의 스캐닝 작업에서 최대 90%의 단계를 처리한다.
- 성능: CyberGym 벤치마크에서 MDASH가 95.95%의 점수를 기록하며, 사이버 방어 에이전트 시스템의 성능을 의미 있게 끌어올렸다.
Microsoft가 범용 엔드포인트 대신 자사 에이전트 하네스에 경량 특화 모델을 종속 배치한 것은, 보안 AI의 기술 경쟁이 모델 단위가 아니라 워크플로 단위로 이동하고 있음을 시사한다.
Microsoft AI가 2026년 7월 28일 공개한 MAI-Cyber-1-Flash는 사이버 보안 작업에 최적화된 경량 특화 모델이다. 이번 출시는 단일 모델의 성능 경쟁에 그치지 않고, 자사의 다중 모델 에이전트 하네스 MDASH와 결합해 거버넌스를 통제하는 배포 전략까지 포함하고 있어 업계의 관심을 끌고 있다. 본문에서는 모델 사양부터 배치 전략, 생태계 효과까지 단계적으로 해설한다.
MAI-Cyber-1-Flash는 무엇인가
MAI-Cyber-1-Flash는 Microsoft의 코드 특화 모델인 MAI-Code-1-Flash를 기반으로, 사이버 보안 도메인에 맞춰 파인튜닝된 sparse Mixture-of-Experts 구조의 모델이다. 전체 파라미터 수는 137B에 달하지만 추론 시점에는 5B의 파라미터만 활성화되기 때문에, 대규모 모델의 추론 비용 문제를 상당 부분 절감한 형태로 평가된다.
모델 사양과 기반 아키텍처
아래 표는 발표된 사양을 요약한 것이다.
| 항목 | 값 |
|---|---|
| 기반 모델 | MAI-Code-1-Flash |
| 총 파라미터 | 137B |
| 활성 파라미터 | 5B |
| 아키텍처 | sparse Mixture-of-Experts (MoE) 파인튜닝 |
| 컨텍스트 윈도우 | 256k |
| 실행 환경 | MDASH 내부 |
| MDASH 내 작업 비중 | 최대 90% |
256k 컨텍스트 윈도우는 보안 로그, 취약점 보고서, 코드 저장소 같은 긴 입력을 한 번에 처리할 수 있는 범위를 제공하며, 5B 활성 파라미터라는 제약은 GPU당 처리량을 높여 대규모 스캐닝 작업에서의 비용 경쟁력을 확보하는 데 기여한다.
CyberGym 95.95% 성능의 의미
MAI-Cyber-1-Flash가 투입된 MDASH는 CyberGym 벤치마크에서 95.95%의 점수를 기록했다. CyberGym이 사이버 방어 작업의 광범위한 시나리오를 다루는 평가용 환경이라는 점에서, 이 수치는 단순한 정확도가 아니라 실제 보안 태스크 전반에 걸친 에이전트 처리 능력의 향상을 나타내는 지표로 해석된다. 다만 절대 수치보다 더 주목할 점은, 이 성능이 단일 모델 호출이 아니라 다중 모델 협업 하네스의 결과라는 사실이다.
MDASH 안에서만 작동한다는 점의 전략적 함의
MAI-Cyber-1-Flash의 가장 두드러진 특징은 별도의 API 엔드포인트로 제공되지 않는다는 점이다. 모델 호출은 모두 MDASH라는 Microsoft 자체 다중 모델 에이전트 스캐닝 하네스를 통해 이루어지며, 한 번의 사이버 스캐닝 작업에서 MAI-Cyber-1-Flash가 처리하는 비중이 최대 90%에 이른다. 이 배포 방식은 단순한 성능 자랑을 넘어 여러 전략적 메시지를 동시에 담고 있다.
다중 모델 에이전트 스캐닝 하네스의 구조
MDASH는 작업 분해, 도구 호출, 결과 검증 단계를 여러 모델이 협업해 처리하는 구조로, 각 단계에 특화된 모델을 배치할 수 있도록 설계되었다. MAI-Cyber-1-Flash는 그중 핵심적인 추론 및 코드 분석 단계의 전담 모델로 위치하며, 다른 범용 모델은 보조 역할로 결합된다. 결과적으로 Microsoft는 모델 단위의 성능 최적화보다, 하네스 전체의 처리 효율을 우선시하는 아키텍처 선택을 한 것으로 보인다.
단독 API 미노출의 거버넌스 효과
외부 사용자가 MAI-Cyber-1-Flash를 직접 호출할 수 없도록 설계한 것은 보안 위험 통제라는 측면에서 명확한 효과를 가진다. 위협 시나리오 분석, 익스플로잇 코드 생성 등 민감한 기능을 통제된 환경 안에서만 노출함으로써, 모델 오용 가능성을 엔드포인트 단계에서 차단한다. 동시에 Microsoft는 차별화된 성능을 자사 보안 제품군과 MDASH 워크플로에 결합해 락인 효과를 만들 수 있으며, 이는 모델 오픈성을 일정 부분 포기하는 대신 거버넌스와 상업적 통제력을 동시에 확보하려는 전략적 선택으로 분석된다.
보안 에이전트 생태계에 미치는 영향
Microsoft의 이번 조치는 보안 AI 시장이 모델 단위 경쟁에서 워크플로 단위 경쟁으로 이동하고 있음을 보여주는 사례로 읽힌다. 외부에서 단독 모델을 호출하는 형태가 아니라, 통합 하네스 안에서 특화 모델이 핵심 노드를 차지하는 구도가 자리 잡고 있기 때문이다.
경량 사이버 모델의 비용 효율성
5B 활성 파라미터라는 제약은 대규모 스캐닝 시 비용 절감을 직접적으로 의미한다. 24시간 연속 운영이 요구되는 SOC 환경에서는 모델 호출 1회당 비용이 전체 예산을 좌우하기 때문에, MoE 구조로 추론 비용을 낮추면서도 256k 컨텍스트 윈도우 같은 사양을 유지한 점은 비용 대비 성능의 균형이 뛰어난 사례로 평가된다. 다만 실제 운영 비용 절감폭은 검증되지 않았으며 워크로드 구성에 따라 달라질 수 있다.
오픈소스 및 외부 벤더 대비 차별점
오픈소스 사이버 보안 LLM이나 타 벤더의 API형 모델과 비교했을 때, MAI-Cyber-1-Flash는 다음과 같은 차별점을 가진다.
- 통합 워크플로: 단독 호출이 아닌 MDASH 하네스와 결합된 형태로, 도구 호출과 검증이 자동화된 파이프라인을 제공한다.
- 거버넌스 통제: 외부 호출이 차단되어 민감 기능의 오용 위험을 줄이고, 기업 정책과의 정합성을 높인다.
- 도메인 특화: 범용 코드 모델을 사이버 보안 데이터로 파인튜닝해, 일반 모델 대비 도메인 작업의 정확도를 끌어올렸다.
반대로 단독 모델 가시성이 낮아 외부 연구자가 성능을 독립적으로 검증하기 어렵고, 도입 역시 Microsoft 보안 스택에 종속될 가능성이 있다는 점은 향후 외부 확산의 제약 요인으로 작용할 것으로 보인다.
정리하면, MAI-Cyber-1-Flash는 사이버 보안용 경량 특화 모델이라는 표면적 의미보다, Microsoft가 모델 자체가 아닌 에이전트 하네스를 중심으로 보안 AI 경쟁력을 정의하기 시작한 전략적 신호로 보는 것이 더 적절하다. 향후 보안 AI 경쟁은 모델 단위의 벤치마크를 넘어, 어떤 하네스가 어떤 통제 아래 모델을 배치하느냐로 무게중심이 이동할 가능성이 높다.
핵심 정리
- MAI-Cyber-1-Flash는 137B 총 파라미터 중 5B만 활성화하는 sparse MoE 사이버 특화 모델이며, 256k 컨텍스트를 지원한다.
- 단독 API로 노출되지 않고 MDASH 내부에서만 작동해, 최대 90%의 작업을 처리하며 CyberGym 95.95% 성능을 달성했다.
- 모델을 하네스 안에 가둠으로써 보안 거버넌스를 강화하고, Microsoft 보안 제품군에 대한 락인 효과를 노리는 전략적 배치로 분석된다.
- 보안 AI 경쟁이 모델 단위가 아닌 워크플로 단위로 이동하고 있음을 보여주는 사례로, 향후 생태계 재편 가능성이 제기된다.