MicrosoftのMAI Cyber 1.1 Flashは、スキャン、トリアージ、修正案の提示を連携して行うマルチエージェント型パイプライン、MDASHに組み込まれた専用モデルです。注目すべきは、検出率をほぼ維持しながらトークン消費を18%削減するという点です。大規模なコードベースを繰り返しスキャンすると、わずかなトークンコストの差も積み重なるため、これは運用上大きな意味を持ちます。ただし、トークンの節約だけでは全体像は見えません。セキュリティチームが本当に見るべきなのは、検証済みの脆弱性1件あたりのコストです。つまり、自動検出のうち真陽性がどれほどあるか、確認にどれだけの人手がかかるか、そして修正までどれほど早く進められるかです。
MAI Cyber 1.1 Flashのような特化型モデルは、反復的な監査タスクで汎用の最先端LLMを上回ることがあります。ドメイン知識を効率よく取り込み、コードや脆弱性の特徴に見られる予測可能なパターンを活用できるためです。スキャンのワークフローでは、小型で低コストなモデルを使えば、実行回数を増やしたり、決定論的なヒューリスティックを組み込んだり、後続処理の解析負荷を抑える構造化出力を生成するよう調整したりできます。だからといって、最先端モデルが不要になるわけではありません。曖昧なケースやエクスプロイトの連鎖、自然言語による要約などには、今も力を発揮します。一方、大量の脆弱性を見つける用途では、特化型アーキテクチャとパイプラインを意識した設計が、コストと効果の面で優位です。
MAI Cyber 1.1 Flashを評価する際は、トークン数や名目上の精度だけでなく、それを超える実験指標を設けましょう。比較すべき項目には、上位k件における適合率、スキャンあたりの誤検知率、検出結果1件の人手による検証時間、修正までの所要時間などがあります。実践的な方法の一つは、代表的なコード群を使ったA/Bスキャンです。MDASHとMAI Cyber 1.1 Flashでスキャンする一方、旧モデルまたは最先端LLMでも並行して実行し、検証済みの脆弱性数と、確認に要した人時の合計を比較します。こうすれば、マネージャーが予算策定に使える、実際のアクションあたりのコストが分かります。
最後に、自動検出された脆弱性はエンジニアリングプロセスの代わりではなく、その入力情報として扱う必要があります。検出結果はトリアージし、再現可能なテストケースを用意し、必要に応じてCVEと対応付けたうえで、優先順位を付けた修正計画につなげなければなりません。チケット管理システム、CIゲート、リスクスコアリングとの連携によって、トークンの節約が平均修正時間の短縮に結び付くかどうかが決まります。また、セキュリティ責任者は検出範囲の抜け漏れも確認すべきです。特化型モデルでは、より長い文脈を使った推論や、対象を絞った敵対的ファジングが有効な、複数ファイルにまたがるロジックの不具合や新しいエクスプロイトのパターンを見落とす可能性があります。