Microsofts Cyber-KI erreicht 96 Prozent – doch der Sieg gehört dem System Microsofts Cyber-KI erreicht 96 Prozent – doch der Sieg gehört dem System

Die halbe Wahrheit hinter einer runden Zahl

Die interessante Zahl dieser Meldung ist nicht 96. Es ist die Differenz zwischen 96,5 und 95,95 Prozent. Am 17. Juni 2026 hatte Microsoft für sein agentisches Sicherheitssystem MDASH bereits 96,5 Prozent im CyberGym-Benchmark ausgewiesen. Am 27. Juli folgte MAI-Cyber-1-Flash mit einem Wert von 95,95 Prozent, der in der Kommunikation auf 96 Prozent gerundet wird. Die neue Konfiguration ist also nicht erkennbar treffsicherer als Microsofts vorheriger Spitzenstand. Sie soll annähernd dieselbe Leistung wesentlich günstiger erbringen. Die beiden Ergebnisse sind wegen unterschiedlich detaillierter Metrikangaben nicht vollständig gleichzusetzen. Sie zeigen aber, dass die Leistungsklasse um 96 Prozent selbst nicht die eigentliche Neuigkeit ist. Microsofts Zwischenbericht vom 17. Juni und die Ankündigung vom 27. Juli 2026 dokumentieren diesen bemerkenswerten Wechsel der Perspektive.

Microsoft beziffert die Einsparung gegenüber seiner bisherigen leistungsstärksten MDASH-Konfiguration auf 50 Prozent. Der Vergleich bezieht sich auf ein Ensemble aus GPT-5.4, GPT-5.4 mini und GPT-5.3 codex, nicht auf einen universellen Marktpreis. MAI-Cyber-1-Flash soll bis zu 90 Prozent der anfallenden Aufgaben übernehmen. Nur besonders schwierige Fälle werden an GPT-5.4 weitergereicht. Die veröffentlichte Modellkarte beschreibt die Benchmark-Konfiguration etwas technischer: Dort ersetzte das neue Modell 80 Prozent der zuvor eingesetzten Modelle und hob MDASH von 88,4 auf 95,95 Prozent. Quelle: microsoft.ai

Damit verschiebt sich der Gegenstand der Meldung. Vordergründig erscheint ein neues KI-Modell, das etablierte Namen überholt. Tatsächlich sehen wir die Optimierung einer kompletten Maschinenordnung: Ein spezialisiertes Modell erledigt die Masse, ein größeres Modell übernimmt die Ausnahmen, und ein Geflecht aus Agenten zerlegt die Sicherheitsprüfung in einzelne Schritte. Die 96 Prozent sind Systemleistung.

Was CyberGym tatsächlich misst

CyberGym ist kein allgemeiner Intelligenztest für digitale Verteidiger. Der Benchmark umfasst 1.507 reale, bereits bekannte Schwachstellen aus 188 Open-Source-Projekten. Ein System erhält in der primären Teststufe eine Beschreibung der gesuchten Lücke und den ungepatchten Quellcode. Seine Aufgabe besteht hauptsächlich darin, einen Proof of Concept zu erzeugen, der den Fehler reproduzierbar auslöst. Das verlangt eine Analyse größerer Codebestände, das Auffinden relevanter Pfade und die Konstruktion eines funktionierenden Eingabefalls. Die technische Anlage des Tests ist im CyberGym-Forschungspapier beschrieben.

Das ist anspruchsvoll, aber enger als die Formulierung, eine KI finde 96 Prozent aller Sicherheitslücken. CyberGym untersucht überwiegend, ob ein System bekannte Schwachstellen unter hilfreichen Ausgangsbedingungen reproduzieren kann. Es muss nicht ohne Vorwissen in einem beliebigen Produkt nach unbekannten Angriffspfaden suchen. Es beweist ebenso wenig, dass anschließend ein korrekter Patch entsteht, dieser keine Regression auslöst und sich gefahrlos in eine Produktionsumgebung einspielen lässt. Für den vollständigen Weg von der Entdeckung bis zur Reparatur existieren inzwischen weiter gefasste Benchmarks wie CyberGym-E2E. Quelle: arxiv.org

Gerade deshalb ist der Wert nicht belanglos. Die Erzeugung eines belastbaren Proof of Concept trennt plausible Vermutungen von Fehlern, die sich tatsächlich auslösen lassen. In Microsofts Pipeline folgen auf die Suche mehrere Prüf- und Beweisstufen. Das reduziert jene Art von Fund, die fachlich interessant klingt, am Ende aber nur den Arbeitsvorrat menschlicher Sicherheitsteams vergrößert. Schon im Mai beschrieb Microsoft MDASH als System, das Kandidaten debattieren, zusammenführen und praktisch validieren lässt. Damals erreichte die Konfiguration 88,45 Prozent auf CyberGym. Quelle: microsoft.com

Der Fortschritt liegt in der Arbeitsteilung

MAI-Cyber-1-Flash ist laut Modellkarte ein spezialisiertes Mixture-of-Experts-Modell mit 137 Milliarden Parametern insgesamt, von denen je Verarbeitungsschritt 5 Milliarden aktiv sind. Der Kontextumfang beträgt 256.000 Token. Microsoft führt es als auf Cybersicherheit abgestimmte Variante von MAI-Code-1-Flash. Entwickelt wurde es ausdrücklich für die Nutzung innerhalb von MDASH, nicht als frei kombinierbares Universalmodell. Quelle: microsoft.ai

MDASH wiederum orchestriert mehr als 100 spezialisierte Agenten. Sie bereiten Codebestände vor, grenzen relevante Bereiche ein, suchen nach möglichen Fehlern, prüfen Kandidaten, erzeugen Nachweise und unterstützen die Behebung. Das größere Sprachmodell sitzt nicht mehr an jeder Station. Es wird dorthin geroutet, wo der kompaktere Spezialist nicht weiterkommt. Dieses Kaskadenprinzip ist technisch weniger spektakulär als der Auftritt eines allwissenden Modells, aber ökonomisch plausibler: Häufige, gut strukturierbare Aufgaben laufen durch eine günstigere Schicht; seltene Grenzfälle erhalten mehr Rechenbudget. Quelle: microsoft.ai

Für kontinuierliche Sicherheitsprüfungen ist dieser Unterschied entscheidend. Ein System, das nur bei gelegentlichen Demonstrationen wirtschaftlich arbeitet, verändert den Betrieb kaum. Sinkt dagegen der Aufwand pro Scan, können Prüfungen häufiger, über größere Codebereiche und näher am Entwicklungsprozess stattfinden. Die relevante Kennzahl ist dann nicht mehr maximale Modellleistung um jeden Preis, sondern der Aufwand pro belastbarem Ergebnis. Microsoft veröffentlicht allerdings keine absoluten Kosten, Laufzeiten oder vollständigen Vergleichsbedingungen. Die behauptete Halbierung bleibt daher eine anbieterseitige Relation zur vorherigen MDASH-Konfiguration. Quelle: microsoft.ai

Außerhalb des Systems wird das Modell gewöhnlicher

Die Modellkarte enthält eine Einschränkung, die in der runden Schlagzeile leicht verloren geht. Microsoft hat MAI-Cyber-1-Flash auch als einzelnes Modell mit einem leichteren Terminal-System geprüft. Dort fallen die Resultate deutlich gemischter aus. Für CVEBench nennt das Dokument einen Wert von 0,314. Bei ExploitGym stehen für Kernel-, Userspace- und Browser-Aufgaben jeweils null erfolgreiche Ergebnisse. Diese Werte lassen sich wegen verschiedener Skalen und Aufgaben nicht direkt mit CyberGym verrechnen. Sie machen jedoch sichtbar, wie wenig sich die 95,95 Prozent vom Gesamtsystem auf andere Cyberaufgaben übertragen lassen. Quelle: microsoft.ai

Darin liegt kein Widerspruch, sondern die eigentliche technische Aussage. Das Modell wurde nicht darauf optimiert, allein vor einem Terminal möglichst viele Sicherheitsdisziplinen zu beherrschen. Es soll eine definierte Rolle in einem System übernehmen, das Kontext, Agenten, Prüfwerkzeuge und größere Modelle bereitstellt. Die Orchestrierung kompensiert Grenzen des Spezialisten und nutzt zugleich dessen Kostenvorteil. Ein isolierter Modellvergleich unterschätzt dieses Design. Eine Modellschlagzeile überschätzt es.

Hinzu kommen bekannte Grenzen. Microsoft weist darauf hin, dass Training und Tests vorwiegend auf englischsprachigen Daten und Benchmarks beruhen. Generierter Text und Code können falsch oder unvollständig sein und sollen vor produktiver Nutzung geprüft und getestet werden. Der Zugang ist wegen des Missbrauchspotenzials auf ausgewählte, geprüfte MDASH-Nutzer beschränkt. Das Modell ist damit weder offene Forschungssoftware noch eine allgemein verfügbare Schnittstelle. Es bleibt Teil einer kontrollierten Vorschauumgebung. Quelle: microsoft.ai

Neue KI-Modelle werden zu Bauteilen

Über die Cybersicherheit hinaus weist die Veröffentlichung auf eine breitere Entwicklung hin. Neue KI-Modelle müssen nicht in jeder Disziplin größer und stärker werden, um einen messbaren Fortschritt zu erzeugen. Ein kleinerer aktiver Rechenkern kann wertvoller sein, wenn er für einen engen Aufgabenraum trainiert wurde und zuverlässig an stärkere Modelle übergeben kann. Das verändert auch die strategische Bewertung: Nicht der Name des verwendeten Modells entscheidet allein, sondern die Qualität der Zerlegung, des Routings und der nachgelagerten Kontrolle.

Für Organisationen in der DACH-Region ist dabei die sprachliche Einschränkung nicht nebensächlich. Selbst wenn Quellcode überwiegend englisch ist, können Fehlerberichte, interne Dokumentation und Übergaben deutschsprachige Bestandteile enthalten. Microsoft warnt selbst vor möglicherweise schwächerer Leistung außerhalb des Englischen. Ob diese Differenz in realen Abläufen relevant wird, ist noch nicht öffentlich belegt. Sie gehört jedoch in jede Prüfung, die über den Benchmark hinausgeht. Quelle: microsoft.ai

Fünf Fragen an die nächste Benchmarkmeldung

Wer ein KI-System für Sicherheits- oder andere anspruchsvolle Automatisierungsaufgaben bewertet, sollte die Zahl zunächst zerlegen:

• Wurde ein einzelnes Modell oder ein vollständiges System aus Modellen, Agenten und Werkzeugen gemessen?
• Welche Informationen erhält das System vor Beginn der Aufgabe?
• Misst der Test Erkennung, Reproduktion, Ausnutzung, Reparatur oder den gesamten Ablauf?
• Auf welche frühere Konfiguration bezieht sich eine Kostenersparnis?
• Wurde das Ergebnis unabhängig reproduziert oder bislang nur vom Anbieter veröffentlicht?

Bei MAI-Cyber-1-Flash fallen die Antworten ungewöhnlich deutlich aus: Gemessen wurde ein abgestimmtes System. Es erhält im Benchmark eine Beschreibung der Zielschwachstelle. Der Test konzentriert sich vorwiegend auf deren Reproduktion. Die Kostenangabe bezieht sich auf Microsofts bisherige MDASH-Konfiguration. Eine unabhängige Bestätigung der neuen 95,95-Prozent-Konfiguration ist in den herangezogenen Primärquellen nicht dokumentiert. Quelle: microsoft.ai

Was sich tatsächlich geändert hat

Die Meldung markiert keinen plötzlichen Sprung von mittelmäßiger zu nahezu perfekter Cyber-KI. Microsofts agentisches System bewegte sich bereits vor der Veröffentlichung von MAI-Cyber-1-Flash in derselben Benchmarkregion. Neu ist die Behauptung, dass ein intern entwickelter Spezialist den Großteil der Arbeit übernehmen und dabei die Kosten gegenüber der bisherigen Modellmischung halbieren kann. Quelle: microsoft.com

Belegt ist damit ein Architekturwechsel: weg von der dauerhaften Nutzung der größten Modelle, hin zu einer abgestuften Arbeitsteilung aus Spezialist, Frontier-Modell und Agentensystem. Nicht belegt ist, dass Microsofts neue Cyber-KI 96 Prozent unbekannter Schwachstellen in beliebigen realen Umgebungen entdeckt oder behebt. Auch eine unabhängige Überprüfung des neuen Gesamtwerts steht aus.

Der Fortschritt liegt vorerst nicht in einer Maschine, die fast alles findet. Er liegt in einem System, das gelernt hat, das teuerste Denken nur noch dort einzusetzen, wo es gebraucht wird.