Microsofts MAI Cyber 1.1 Flash ist ein speziell entwickeltes Modell innerhalb von MDASH – einer Multi-Agenten-Pipeline, die Scans, Triage und Vorschläge zur Behebung koordiniert. Die zentrale Aussage – 18 % weniger Tokenverbrauch bei vergleichbaren Erkennungsraten – ist für den Betrieb relevant, denn bei wiederholten Scans großer Codebasen summieren sich selbst kleine Einsparungen beim Tokenverbrauch. Doch das ist nur ein Teil der Gleichung. Für Sicherheitsteams zählt vor allem der Aufwand pro bestätigter Schwachstelle: Wie oft erweisen sich automatisierte Funde als echte Treffer? Wie viel Zeit benötigen Mitarbeitende für die Prüfung, und wie schnell wird anschließend eine Behebung eingeleitet?
Spezialisierte Modelle wie MAI Cyber 1.1 Flash können allgemeine Frontier-LLMs bei repetitiven Audit-Aufgaben übertreffen, weil sie Fachwissen verdichten und vorhersehbare Muster in Code und Schwachstellensignaturen nutzen. In Scan-Workflows können kleinere, kostengünstigere Modelle mehr Durchläufe ausführen, deterministische Heuristiken integrieren und so abgestimmt werden, dass sie strukturierte Ergebnisse liefern, die den nachgelagerten Aufwand für die Verarbeitung verringern. Das bedeutet nicht, dass Frontier-Modelle überflüssig sind: Bei mehrdeutigen Fällen, dem Verknüpfen von Exploits oder Zusammenfassungen in natürlicher Sprache leisten sie weiterhin gute Dienste. Für die massenhafte Erkennung sprechen Kosten und Nutzen jedoch eher für spezialisierte Architekturen und eine auf die Pipeline abgestimmte Entwicklung.
Teams, die MAI Cyber 1.1 Flash bewerten, sollten Experimente so ausstatten, dass sie mehr als nur Tokenverbrauch und nominelle Genauigkeit erfassen. Zu den wichtigsten Vergleichswerten gehören Präzision unter den k besten Funden, Falsch-Positiv-Rate pro Scan, Prüfminuten pro Fund und Zeit bis zur Behebung. Ein praktischer Ansatz ist ein A/B-Scan: MDASH mit MAI Cyber 1.1 Flash auf einer repräsentativen Codebasis ausführen und parallel ein älteres Modell oder ein Frontier-LLM testen. Anschließend werden die bestätigten Schwachstellen und die insgesamt benötigten Arbeitsstunden für ihre Prüfung verglichen. So erhalten Verantwortliche einen aussagekräftigen Kosten-pro-Aktion-Wert, den sie für die Budgetplanung heranziehen können.
Automatisierte Ergebnisse zur Erkennung von Schwachstellen sind letztlich eine Grundlage für technische Prozesse, kein Ersatz dafür. Funde müssen priorisiert, mit reproduzierbaren Testfällen versehen und – sofern relevant – CVEs zugeordnet werden; außerdem braucht es priorisierte Pläne zur Behebung. Ob sich Token-Einsparungen tatsächlich in einer kürzeren mittleren Zeit bis zum Patch niederschlagen, hängt von den Integrationen ab, etwa mit Ticketsystemen, CI-Prüfungen und Risikobewertungen. Sicherheitsverantwortliche sollten zudem mögliche Abdeckungslücken prüfen: Spezialisierte Modelle übersehen womöglich dateiübergreifende Logikfehler oder neuartige Exploit-Muster, bei denen ein größeres Kontextfenster oder gezieltes adversariales Fuzzing helfen kann.