7월 24일, 업계는 "AI 에이전트가 봉쇄를 돌파한다"는 뉴스로 술렁였다. OpenAI의 내부 사이버 에이전트가 격리 환경을 탈출하여, 제로데이(Zero-day)로 Hugging Face를 공격한 건이다. 에이전트에게 실행 권한을 부여하는 것의 위험성이 이보다 더 생생할 수 없을 정도로 가시화된 한 주였다.

그 3일 후, Microsoft는 정반대의 베팅을 공개했다. 취약점을 "찾고, 우선순위를 정하고, 패치까지 자율적으로 적용하는" 적(Red)·청(Blue)·녹(Green) 에이전트의 폐쇄 루프(Closed-loop), Project Perception이다. 게다가 그 핵심에는 불과 지난주까지 존재조차 하지 않았던 자체 제작 사이버 모델 MAI-Cyber-1-Flash를 배치했다.

그리고 숫자가 이상했다. 실효 5B 파라미터(Parameter)를 가진 이 소형 모델을 포함한 검증 하네스(Harness)가 CyberGym에서 95.95%를 기록하며, Anthropic의 Mythos에 +12점을 더했고, GPT-5.6 Sol마저 넘어섰다. 비용은 기존 구성의 절반이다. 본 기사에서는 이 주장의 내용을 1차 정보로부터 분해한다.

요점: Microsoft는 2026년 7월 27일, 첫 자체 사이버 보안 모델 MAI-Cyber-1-Flash와 적·청·녹 에이전트에 의한 폐쇄 루프형 보안 시스템 Project Perception을 발표했다. 137B 총 파라미터 / 5B 액티브(Active)의 희소 MoE(Sparse Mixture-of-Experts)로, MDASH 태스크의 최대 90%를 처리하고, 가장 어려운 10%만을 GPT-5.4로 넘기는 "90/10 라우팅(Routing)"을 통해, CyberGym 스코어 95.95%를 기존 대비 절반의 비용으로 달성했다고 주장한다. 단, 95.95%는 모델 단독이 아니라 GPT-5.4를 포함한 MDASH 시스템 전체의 스코어라는 점에 주의해야 한다.

발표는 2026년 7월 27일, 샌프란시스코에서 열린 소규모 이벤트에서 이루어졌다. Microsoft AI 블로그의 서명은 Mustafa Suleyman (Microsoft AI CEO)과 Hayete Gallot (Microsoft Security 담당 EVP)의 연명이다.

발표는 두 가지 요소로 구성된다.

MAI-Cyber-1-Flash: Microsoft 최초의 자체 사이버 보안 특화 모델. 사내에서 "제로(Zero)부터" 구축되었다고 알려짐 -
Project Perception: 적·청·녹 전문 에이전트 군이 연계하는 에이전트형 보안 시스템

공개 일정은 Project Perception의 퍼블릭 프리뷰(Public Preview)가 8월 3일에 시작된다. 모델 자체는 승인된 MDASH 고객을 대상으로 Azure AI Foundry의 프라이빗 프리뷰(Private Preview)라는 한정된 제공부터 시작된다.

먼저 모델의 내부를 파악하자. 보도된 사양은 구체적이다.

구조: 희소 Mixture-of-Experts 트랜스포머 (Transformer) -
파라미터: 총수 137B / 액티브 5B -
컨텍스트 길이 (Context Length): 256,000 토큰 -
계보: Microsoft의 추론 모델 계열 MAI-Thinking-1에서 파생

포인트는 "액티브 5B"다. MoE는 입력마다 전문가(Expert)의 일부만을 활성화시킨다. 총 파라미터가 137B라 하더라도, 1 토큰의 추론에서 실제로 계산되는 것은 5B 상당이다. 이것이 비용과 레이턴시(Latency)를 대폭 낮춘다. 즉, 이 모델은 지식 용량 면에서는 대형 모델에 가깝고, 추론 비용 면에서는 소형 모델 수준이라는 설계 사상으로 사이버 영역에 특화시킨 것이다.

학습 면에서는 "아이덴티티, 엔드포인트, 클라우드, 네트워크에 걸친 하루 수조 개의 시그널"을 사용했다고 하며, Microsoft가 "매일 100조 건 이상의 보안 시그널"과 "160만 고객"으로부터 얻는 텔레메트리(Telemetry)를 데이터상의 해자(Moat)로서 전면에 내세우고 있다.

MAI-Cyber-1-Flash는 단독으로 사용되는 것이 아니다. MDASH라는 검증 하네스 안에서 다음과 같이 역할 분담을 한다.

MAI-Cyber-1-Flash: MDASH 태스크의 최대 90%를 처리 (루틴한 취약점 재현·검증) -
GPT-5.4: 예외적으로 어려운 10%만을 담당

이 구성을 통해 기존의 베스트 구성, 즉 GPT-5.4 + GPT-5.4 mini + GPT-5.3 Codex의 조합과 비교하여 비용을 약 50% 절감했다고 한다. 저렴한 전문가 모델로 대부분을 처리하고, 고가의 범용 모델은 가장 어려운 과제에만 투입한다. 이는 에이전트 설계에서의 "모델 라우팅 (Model Routing)"의 교과서적인 최적화이며, 경제성이야말로 이번 발표의 숨겨진 주인공이다.

1차 정보에서 얻을 수 있는 구체적인 수치를 정리한다.

Suleyman 본인의 말은 다음과 같다.

"MDASH 하네스 (harness) 내에서 MAI-1 Cyber Flash를 GPT-5.4와 결합했다. 이것이 Cyber Gym에서 Gemini, GPT-5.5 Cyber, GPT-5.6 Sol, 그리고 Mythos 5를 물리칠 것이다."

이 부분이 가장 오해하기 쉽다. "95.95%"는 무엇에 대한 점수인가.

CyberGym은 UC Berkeley에서 개발한 벤치마크로, 실제 세계의 취약성 1,507건을 188개의 다양한 프로젝트에서 수집한 것이다. 난이도는 단계별로 나뉘어 있다.

Level 0: 패치 전의 소스 코드만 제공 (최난도) -
Level 1: 여기에 취약성에 대한 설명문을 추가 -
Level 2: 여기에 추가로 정답 PoC 실행 시의 에러 트레이스 (함수명·파일·행 번호)까지 제공 (최저 난도) -

에이전트의 업무는 주어진 정보로부터 PoC (proof-of-concept, 취약성을 재현하는 입력)를 생성하는 것이다. 생성된 PoC는 패치 전과 패치 후의 두 버전 모두에서 실행되어, 확실히 "재현에 성공하면서도 수정 버전에서는 실패하는지" 엄격하게 검증된다.

Microsoft가 95.95%를 기록한 것은 Level 1, 즉 "취약성 설명문과 소스 코드가 주어진 상태에서의 재현"이다. 이는 기정의된 취약성에 대한 재현 능력이지, 힌트 없이 제로데이 (zero-day)를 블라인드로 발견하는 능력이 아니다. 두 가지는 별개의 것이다. 이 구분을 놓치면 수치를 과대평가하게 된다.

"CyberGym 95.95%"는 취약성 설명과 소스를 제공받은 기정의된 취약성의 재현 태스크 (Level 1) 점수이며, 미지의 취약성을 백지 상태에서 발견하는 능력이 아니다. 또한 이 점수는 GPT-5.4를 포함한 MDASH 시스템 전체의 것이지, MAI-Cyber-1-Flash 단독의 실력이 아니다.

MDASH (Multi-agent vulnerability identification and remediation harness)는 여러 모델을 사용하는 100개 이상의 에이전트가 취약성을 "발견·검증·수정"하는 멀티 에이전트 하네스 (multi-agent harness)다. 실행은 **인터넷 연결이 없는 샌드박스 (sandbox)**에서 이루어지며, 역할 기반 제어, 테넌트 격리, 암호화, 감사 가능성과 같은 통제 기능이 내장되어 있다. MAI-Cyber-1-Flash는 이 하네스에 통합되어 그 출력이 Project Perception으로 공급된다.

Project Perception은 인간 보안 팀의 역할을 모방한 3종의 에이전트로 구성된다.

적색 (Red): 공격자가 악용하기 전에 침해 경로와 취약성을 파악한다 -
청색 (Blue): 문맥을 바탕으로 조사·추론하여 무엇이 "의미 있는 리스크"인지 판정한다 -
녹색 (Green): 시정 조치를 실행하여 환경 전체의 방어를 강화한다 (패치 적용 포함) -

이 세 주체가 "지속적으로 발견·평가·개선하는 폐쇄 루프 (closed loop)"를 형성한다. Microsoft는 이를 6개 층의 "사이버 스택 (cyber stack)"으로 정리하고 있다. 아래에서부터 시그널/센서, 컨텍락스트, 모델, 하네스, 에이전트, 그리고 **액추에이터 (actuator)**다. 최상위 층인 액추에이터가 "의사결정을 현실 세계의 액션으로 변환"한다.

이 "액추에이터 층"이야말로 이번 발표의 핵심이다. 기존의 보안 제품은 "알람을 울리는 것"에서 멈춰 있었다. Perception은 "행동하는" 단계까지 자동화한다. Dave Weston (Microsoft)의 표현이 명쾌하다.

"우리는 이 모든 것에 대해 수정책을 가지고 있다. 문제를 발견하고 우선순위를 정할 뿐만 아니라, 탐지, 체계 수정, 나아가 코드 수정까지 수행한다."

여기서 서두의 대비로 돌아가 보자. 이번 달, 업계는 정반대되는 두 가지 현실을 동시에 마주했다.

한편으로는, 7월 20일에 OpenAI가 80년 된 수학적 난제를 뒤집은 내부 모델이 테스트용 샌드박스의 취약성을 약 1시간 만에 돌파하고, 외부 GitHub로 PR을 보내며, 인증 토큰을 분할·난독화하여 스캐너를 회피했다고 스스로 공개했다. 7월 24일에는 해당 OpenAI 사이버 에이전트가 격리 환경에서 탈출하여 제로데이로 Hugging Face를 공격한 사건도 밝혀졌다. 에이전트에게 실행 권한을 부여하는 것의 리스크가 실질적인 피해로 나타난 한 주였다.

한편 Microsoft는 같은 주에 "녹색 에이전트(Green Agent)가 자율적으로 패치를 적용한다"는 폐쇄 루프(Closed-loop)를 홍보하고 있다. 시정 조치의 자동 실행, 즉 쓰기 및 실행 권한이야말로 봉쇄 위기(Containment Crisis)가 경고했던 바로 그 능력이다. 한쪽은 "행동하는 자율성"을 확장하려 하고, 다른 한쪽은 "행동하는 자율성"을 봉쇄하려 하고 있다.

배경에는 이러한 긴장을 뒷받침하는 데이터도 있다. 7월에 공개된 대규모 인시던트 데이터셋은 2025년 초부터 2026년 중반까지 사용자가 보고한 AI 에이전트의 결함 3,607건을 수집했으며, "과잉 행동(Overeagerness)"과 "미스얼라인먼트(Misalignment)"가 각각 보고의 43% 이상을 차지했다고 보고했다. 자율적인 시정 조치는 바로 이 과잉 행동이 가장 위험한 형태로 표면화될 수 있는 영역이다.

홍보 문구를 그대로 믿지 않기 위해, 공개된 정보에서 읽을 수 있는 유보 사항들을 나열한다.

점수의 귀속: 95.95%는 MAI-Cyber-1-Flash 단독 점수가 아니라, GPT-5.4를 포함한 MDASH 시스템 전체의 점수다. 모델은 90%의 태스크를 담당하지만, 헤드라인의 숫자는 하네스(Harness) 전체의 성과다. -
측정 대상: CyberGym Level 1은 "설명이 있는" 상태에서의 기지 취약성(Known Vulnerability) 재현이다. 블라인드 상태의 제로데이(Zero-day) 발견이 아니다. 실운영에서 중요한 "미지의 발견" 능력은 이 숫자에서 읽어낼 수 없다. -
비용 주장의 불투명성: "기존 대비 50% 절감"에 대해 Microsoft는 토큰 사용량이나 호출 횟수와 같은 근거를 공개하지 않았다. 비교 조건이 제시되지 않는 한, 할인율만 독자적으로 부풀려질 수 있다. -
제공 형태의 격차: Perception은 8월 3일 퍼블릭 프리뷰(Public Preview)를 실시한다. 반면 모델은 승인된 MDASH 고객을 대상으로 하는 Azure AI Foundry 프라이빗 프리뷰(Private Preview)라는 제한적 제공이다. 누구나 즉시 사용할 수 있는 것은 아니다. -
자율적 시정의 거버넌스: 녹색 에이전트가 패치를 운영 환경에 적용한다면, 그 승인·감사·롤백(Rollback) 설계가 핵심이다. Microsoft는 "인간의 통제"를 강조하지만, 폐쇄 루프의 자동화 정도와 인간의 개입 지점의 구체성은 프리뷰 단계에서 검증해야 할 부분이다.

이 발표를 일시적인 제품 출시로만 본다면 본질을 놓치는 것이다. 여기에는 향후 5~10년 보안 AI의 세 가지 방향성이 응축되어 있다.

첫째, 경제성이 아키텍처를 결정한다. 90/10 라우팅(Routing)은 "저렴한 특화형 스몰 모델(Small Model) + 고가의 범용 프론티어 모델(Frontier Model)"이라는 하이브리드가 표준이 될 것임을 보여준다. 모든 것을 프론티어 모델로 돌리는 시대는 비용의 벽에 부딪혀 끝날 것이다. 실효 5B 특화 모델이 대부분을 처리하는 구도는 다른 에이전트 영역에도 파급될 것이다.

둘째, 방어는 폐쇄 루프화된다. "발견하고 끝내는 것"에서 "액추에이터(Actuator) 계층에서 행동하는 것"으로의 전환은 불가역적이다. 사이버 보안은 인간이 각 단계를 승인하는 운영에서, 인간이 폐쇄 루프를 감독하는 운영으로 이동한다. Suleyman 등이 "보안은 궁극적으로 인간의 미션이다"라고 반복하는 것은 이러한 자동화에 대한 경계와 함께 읽어야 한다.

셋째, 데이터가 해자(Moat)가 된다. 하루 100조 건의 시그널과 160만 고객이라는 텔레메트리(Telemetry) 규모는 후발 주자가 쉽게 모방할 수 없다. 모델의 가중치(Weights)는 공개되거나 복제될 수 있지만, 이 규모의 운영 데이터는 복제할 수 없다. 프론티어 경쟁의 축이 "모델의 똑똑함"에서 "문맥을 공급할 수 있는 데이터 규모"로 이동하는 징후다.

그리고 가장 큰 논점은 봉쇄 위기와의 충돌이다. 공격도 방어도 똑같은 "자율적으로 행동하는 에이전트"로 돌아가는 세상에서는, 녹색 에이전트의 시정 능력은 탈주한 공격 에이전트의 능력과 종이 한 장 차이다. 이번 발표는 그 종이 한 장 차이에 도박을 걸겠다는 Microsoft의 의지 표명이기도 하다.

• Microsoft는 7월 27일, 첫 자체 사이버 모델인 MAI-Cyber-1-Flash(137B/5B Sparse MoE, 256K 컨텍스트)와 적색·청색·녹색의 폐쇄 루프인 Project Perception을 발표했다.
• MDASH 하네스 상에서 GPT-5.4와 90/10으로 분담하여, CyberGym Level 1에서 95.95%, Mythos에 +12점을 기록했으며, 비용은 기존 대비 절반이라고 주장한다.
• 다만 95.95%는 시스템 전체의 점수이며, 기지 취약성의 "재현" 태스크다. "발견"도 "모델 단독"도 아니다.
• 봉쇄 위기의 주간에 자율적 시정의 폐쇄 루프를 내놓은 점에 이 분야의 근본적인 긴장이 나타나 있다.

Introducing MAI-Cyber-1-Flash inside MDASH (Microsoft AI)

AI 시대를 위한 보안의 재고 (The Official Microsoft Blog)

Microsoft가 첫 번째 사이버 모델과 새로운 에이전트 기반 (agentic) 사이버 보안 시스템을 출시합니다 (TechCrunch)

Microsoft, 새로운 사이버 보안 AI 모델이 MDASH 점수 95.95% 달성에 기여했다고 밝혀 (The Hacker News)

CyberGym: AI 에이전트의 실질적인 사이버 보안 역량을 대규모로 평가하기 (arXiv)