«بهینه‌سازی ۹۰درصدی وظایف امنیتی»؛ دستاورد جدید مدل فشرده مایکروسافت

تصور کنید مدیر امنیت شبکه‌ای هستید که روزانه با تریلیون‌ها سیگنال هشدار دست‌وپنجه نرم می‌کند؛ در این حجم از داده، استفاده از مدل‌های غول‌پیکر برای هر هشدار، یک خودکشی اقتصادی است. مایکروسافت با ارائه یک راهکار لایه‌بندی شده، حالا هزینه این نظارت را ۵۰٪ کاهش داده است. برای تحقق این هدف، این شرکت در ۲۷ ژوئیه ۲۰۲۶ مدل MAI-Cyber-1-Flash را منتشر کرد؛ یک مدل فشرده و متمرکز بر کد که طراحی شده تا به‌عنوان اولین خط دفاع در اکوسیستم امنیتی این شرکت عمل کند.

امنیت سایبری بازیِ حجم است، جایی که هزینه‌های توکن اغلب توانایی مدافعان برای مقیاس‌پذیری را محدود می‌کند. همان‌طور که در تحلیل قبلی ما درباره‌ی اینکه چگونه Microsoft 365 Archive از آلوده شدن Copilot توسط داده‌های قدیمی جلوگیری می‌کند اشاره کردیم، چالش اینجاست که مسئله فقط کیفیت داده نیست، بلکه هزینه پردازش تریلیون‌ها سیگنال روزانه است. طبق اعلام مایکروسافت، اکثر وظایف امنیتی روتین هستند و استفاده از مدل‌های پیشرو و عظیم برای هر هشدار، از نظر اقتصادی غیرممکن است. این رویکرد با استراتژی‌های مشابه در صنعت هم‌جهت است، به‌طوری‌که مدل‌های کوچک سیسکو نیز ثابت کردند که می‌توانند تا ۱۵۰ برابر به‌صرفه‌تر از عامل‌های امنیتی غول‌آسا باشند.

استراتژی مدل‌سازی

مایکروسافت چالش‌های امنیتی مدرن را در تعادل میان سه رکن «مدل، داده و سازمان‌دهنده» (Harness) می‌بیند. هدف این است که با بهینه‌سازی این سه ستون، مناسب‌ترین مدل با بهترین قیمت برای هر وظیفه خاص ارائه شود. این رویکرد تضمین می‌کند که ماموریت امنیتی، علی‌رغم حجم عظیم حملات ورودی، یک عملیات «همواره فعال» (Always-on) باقی بماند.

بر اساس گزارش رسمی microsoft.ai، مدل MAI-Cyber-1-Flash تا ۹۰٪ از کل وظایف امنیتی را مدیریت می‌کند. این استراتژی به سیستم اجازه می‌دهد تا مدل‌های گران‌قیمتی مانند GPT-5.4 را فقط برای آن ۱۰٪ از وظایفی رزرو کند که فوق‌العاده دشوار و پیچیده هستند. در این راستا، رشد سریع توانمندی‌های مدل‌های کوچک‌تر چشم‌گیر بوده است؛ به‌گونه‌ای که مدل‌های وزن‌باز تنها در بازه‌ای ۴ تا ۷ ماهه توانسته‌اند به سطح مدل‌های پیشرو در مهارت‌های سایبری برسند.

جزئیات فنی

بررسی مشخصات فنی این استقرار نشان می‌دهد:

• عملکرد: سیستم یکپارچه در محک CyberGym امتیاز ۹۶٪ کسب کرد که ۱۲ درصد بالاتر از Mythos است.
• بهینگی هزینه: این پیکربندی در مقایسه با پیشنهاد قبلی MDASH (ترکیبی از GPT 5.4 و 5.4 mini و 5.3 codex)، منجر به ۵۰٪ صرفه‌جویی در هزینه‌ها شده است.
• نسبت و تبار: این مدل از خانواده MAI-Thinking-1 مشتق شده و به‌صورت داخلی و با استفاده از داده‌های امنیتی اختصاصی مایکروسافت ساخته شده است.
• زیرساخت: مدل در دل MDASH اجرا می‌شود؛ یک سازمان‌دهنده چند-عاملی (Multi-agent harness) شامل بیش از ۱۰۰ عامل تخصصی که برای یافتن، اعتبارسنجی و رفع آسیب‌پذیری‌ها تنظیم شده‌اند.
• ایمنی: مدل تحت کالیبراسیون «امنیت-محور» توسط تیم قرمز (Red Team) هوش مصنوعی مایکروسافت و ارزیابی‌های مستقل شخص ثالث قرار گرفته است.

حاکمیت سازمانی

اعتماد در سطح سازمانی فراتر از کالیبره کردن مدل است. مشتریان از طریق MDASH کنترل‌های درجه سازمانی برای حفظ حاکمیت داده‌ها دریافت می‌کنند. این موارد شامل جداسازی مستاجرها (Tenant Isolation)، کنترل‌های مبتنی بر نقش (RBAC)، رمزگذاری، قابلیت حسابرسی (Auditability) و محیط‌های اجرای ایزوله (Sandbox) است که بدون هیچ دسترسی به اینترنت عمل می‌کنند.

این چرخش نشان‌دهنده حرکت به سمت «مسیریابی هوشمند» (Intelligent Routing) در سازمان‌ها است. مایکروسافت با تقسیم حجم کاری بین یک مدل «فلش» (سریع) و یک مدل «سنگین»، در حال بهینه کردن اقتصاد واحد (Unit Economics) در امنیت است. برای یک مدیر ارشد امنیت (CISO)، این به معنای توانایی نظارت بر بردارهای تهدید بیشتر در زمان واقعی است، بدون اینکه بودجه به‌صورت خطی افزایش یابد.

مایکروسافت همچنین سیستم Perception را معرفی کرد؛ یک سامانه امنیتی عامل‌محور که تیمی از عامل‌ها را برای نظارت، وصله زدن و بستن مداوم بردارهای تهدید به کار می‌گیرد. Perception در نهایت مدل MAI-Cyber-1-Flash را برای جریان‌های کاری که فراتر از آسیب‌پذیری‌های نرم‌افزاری هستند، ادغام خواهد کرد.

حلقه داده

مایکروسافت ادعا می‌کند بزرگ‌ترین مزیتش یک حلقه یادگیری تقویتی بسته (Closed Reinforcement Learning Loop) است. این شرکت این حلقه را به‌صورت سرتاسری، از مرکز پاسخ امنیتی مایکروسافت (MSRC) تا ۱.۶ میلیون مشتری رصد می‌کند.

با اتصال ۱۰۰ تریلیون سیگنال امنیتی روزانه — در حوزه‌های هویت، نقاط انتهایی (Endpoint)، ابر، داده، مرورگر و اپلیکیشن‌ها — به نتایج واقعی، مایکروسافت می‌تواند مدل‌های خود را بر اساس آنچه در سناریوهای واقعی اکسپلویت «کار کرده است» آموزش دهد. این امکان را فراهم می‌کند تا آن‌ها دقیقاً ببینند چه چیزی قابل بهره‌برداری بوده و چه چیزی مهار شده است.

شما می‌توانید استقرار جریان‌های کاری گسترش‌یافته Perception را دنبال کنید تا ببینید آیا وصله زدن عامل‌محور (Agentic Patching) به استاندارد جدید صنعت برای مدیریت آسیب‌پذیری‌ها تبدیل می‌شود یا خیر.

گام بعدی شما

• اگر در سازمان خود از مدل‌های سنگین برای تحلیل لاگ‌ها استفاده می‌کنید، استراتژی «مسیریابی هوشمند» (S-Routing) را برای کاهش هزینه‌ها بررسی کنید.
• قابلیت‌های سیستم Perception را برای اتوماسیون وصله زدن (Patching) دنبال کنید.
• اثر این کاهش هزینه‌ها بر قیمت‌گذاری سرویس‌های امنیتی مایکروسافت در ماه آینده را رصد نمایید.

اما داستان سخت‌افزاری این تحول حتی شگفت‌انگیزتر است — به تحلیل ما درباره‌ی تراشه‌های Blackwell مراجعه کنید.