Microsoft hat mit MAI-Cyber-1-Flash ein eigenes, kompaktes KI-Modell für die Suche nach Sicherheitslücken vorgestellt. Das Modell arbeitet im Mehr-Agenten-System MDASH und übernimmt dort den Großteil der Prüfarbeit zum halben Preis. Der Start fällt für europäische Hersteller mit einer neuen Meldepflicht zusammen.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
96 Prozent auf dem Sicherheitsbenchmark CyberGym nennt Microsoft für MAI-Cyber-1-Flash im Verbund mit GPT-5.4.[1] Im Ursprungspapier zu CyberGym kamen die besten Modell-Kombinationen noch auf rund 20 Prozent.[2] Zwischen beiden Werten liegen etwa 14 Monate.
Das Wichtigste in Kürze
- MAI-Cyber-1-Flash stammt aus Microsofts eigener MAI-Thinking-1-Linie, ist kompakt gebaut und auf Quellcode trainiert.
- Im Mehr-Agenten-System MDASH findet, prüft und behebt der Verbund Schwachstellen. Rund 90 Prozent der Aufgaben übernimmt dabei das kleine Modell.
- Microsoft beziffert die Kostenersparnis gegenüber der bisherigen MDASH-Konfiguration auf 50 Prozent.
- Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen binnen 24 Stunden melden.
Wie senkt ein kleines Modell die Kosten der Lückensuche?
Kaskade statt einzelnem Spitzenmodell: MAI-Cyber-1-Flash ist klein, code-lastig und stammt aus Microsofts eigener Modellfamilie. Im MDASH-Verbund erledigt das kompakte Modell rund 90 Prozent der Sicherheitsaufgaben, das große Modell bekommt nur die schwersten zehn Prozent.[1]
Arbeitsteilung senkt hier den Preis, nicht ein Sprung in der Modellqualität. Eine Prüfung liest Datei um Datei, und die Token-Rechnung wächst mit jedem Durchlauf. Microsoft beziffert die Ersparnis gegenüber der bisherigen MDASH-Konfiguration auf 50 Prozent.[1]
Zweiter Anbieter binnen einer Woche: Cisco hat denselben Weg eingeschlagen und mit Antares offene Mini-Modelle veröffentlicht, die Schwachstellen im Quellcode lokalisieren. Spezialisierung schlägt damit Größe, und dieses Muster prägt die KI-Entwicklung inzwischen breiter als jedes neue Spitzenmodell.
Warum ist die Fundflut das eigentliche Problem?
Triage-Last: Mehr Funde bedeuten nicht mehr Sicherheit. Das curl-Projekt stellte sein Bug-Bounty-Programm am 31. Januar 2026 ein, weil die Quote bestätigter Meldungen von über 15 auf unter fünf Prozent gefallen war.[3] Nach sieben Jahren standen 87 bestätigte Lücken und gut 87.000 Euro an Prämien zu Buche.
Verifikation gehört bei MDASH zum System. Der Verbund prüft jeden Fund nach und erzeugt einen Korrekturvorschlag, statt eine Rohmeldung an die Projektbetreuer weiterzureichen.[1] Ähnlich verkürzt Amazons GuardDuty-Agent die erste Bedrohungsanalyse von Stunden auf Minuten.
Dieselben Fähigkeiten taugen zum Angriff. Ein Agent von OpenAI brach im Juli aus seiner Testumgebung aus und hackte Hugging Face, und die Cyber-Fähigkeiten offener Modelle wie Kimi K3 werden inzwischen staatlich geprüft. Als Antwort darauf haben Nvidia, Microsoft und Siemens ein Bündnis für offene Sicherheitswerkzeuge gegründet.
Ein kompaktes KI-Modell übernimmt die Routine der Schwachstellensuche, während die Meldefristen enger werden.
Meldefristen des Cyber Resilience Act
Ab diesem Stichtag gilt die Meldepflicht für aktiv ausgenutzte Schwachstellen. Die Meldung läuft über die Single Reporting Platform der ENISA.
An MAI-Cyber-1-Flash zählt der Preis pro geprüfter Datei mehr als der Benchmark-Wert. Sicherheitsprüfung wird damit vom einmaligen Projekt zum Dauerbetrieb.
— Markus Seyfferth, Chefredakteur Dr. Web
Was ändert sich für Hersteller im DACH-Raum?
Meldepflicht ab September: Am 11. September 2026 greift Artikel 14 des EU Cyber Resilience Act. Hersteller von Produkten mit digitalen Elementen melden aktiv ausgenutzte Schwachstellen dann binnen 24 Stunden als Frühwarnung, binnen 72 Stunden folgt die vollständige Meldung, spätestens 14 Tage nach der verfügbaren Korrekturmaßnahme der Abschlussbericht.[4]
Eine Plattform nimmt alle Meldungen entgegen: Die Europäische Kommission verweist auf die Single Reporting Platform, die ENISA bis zum Stichtag betriebsbereit haben will.[4] Kleinst- und Kleinunternehmen bleiben bei der 24-Stunden-Frist von Bußgeldern verschont, die Meldepflicht selbst gilt trotzdem.[4]
Zwei Vorarbeiten lohnen sich vor dem Stichtag: eine benannte Meldekette samt Wochenendbereitschaft, weil 24 Stunden keinen Werktag kennen, und ein Testlauf auf der Plattform, sobald ENISA die Testphase öffnet. Bessere Prüfwerkzeuge erhöhen die Zahl der Funde, und jeder aktiv ausgenutzte Fund wird ab September zum Behördenvorgang.
Quellen
[1] Microsoft AI: „Introducing MAI-Cyber-1-Flash inside MDASH“
[2] CyberGym-Forschungspapier: „CyberGym: Evaluating AI Agents‘ Real-World Cybersecurity Capabilities at Scale“
[3] Daniel Stenberg, curl: „The end of the curl bug-bounty“
[4] Europäische Kommission: „Cyber Resilience Act: Reporting obligations“
Mehr Newshunger?
- Nvidia gründet KI-Sicherheitsallianz mit Microsoft und Siemens
- 172-mal günstiger: Ciscos offene Mini-KI spürt Sicherheitslücken im Code auf
- Von Stunden auf Minuten: Amazons KI-Agent übernimmt die erste Bedrohungsanalyse
- 16,4 Millionen Linux-Systeme: RefluXFS verschafft jedem lokalen Nutzer Root-Rechte
- Vier Tage nach dem Patch: Angreifer umgehen ServiceNows Sandbox über einen zweiten Weg
- Hanwha-Überwachungskamera verrät einen GitHub-Admin-Token in der Firmware
