論文解説 Feyospace-v1 — 7人のチームが「環境」でサイバーAIを鍛えた話

7人の独立チームがオープンウェイトモデルをサイバー領域で鍛え上げた記録。鍵はモデル規模ではなく、リセット可能な実行環境と16万本の監査済み軌跡だった。論文の数字に沿って設計と限界を読み解く。

Feyospace-v1: How the Cyber Mercury Seven Trained Frontier Cyber Models

この論文は何を主張しているのか

原題は "Feyospace-v1: How the Cyber Mercury Seven Trained Frontier Cyber Models"（arXiv:2609.08418、2026年9月8日公開、Vera Praxis Lab）です。検索・引用にはこの英語タイトルを使ってください。

要旨はこうです。サイバー能力の高いAIエージェントを作る問題は、しばしば「モデルをどれだけ大きくするか」として扱われる。だがオープンウェイトモデルのポストトレーニング（公開済みモデルを後から鍛え直す工程）で実際に詰まるのは、実行できる練習環境のコスト、何十ターンも続く作業に信頼できるお手本を付けること、強い教師モデルへのアクセスである。著者らは5つの仕組みとデータエンジンを組み合わせ、実行検証と証拠監査を通った 164,269本の軌跡だけで長文脈SFTを行いました。3つのチェックポイントは出発点のモデルに対し CyberGym 全体で平均 23.76%、CTF系のプール集計で 10.49% 改善。2026年9月1日時点で Feyospace-s1 は verified success rate 63.24%、公式 CyberGym リーダーボードで10位、3つとも同規模パラメータ帯では1位だとしています。(Abstract)

比喩: 生徒を賢くするのではなく、採点できる練習場を作る

成績を上げる方法は2つあります。生徒の地頭を良くするか、自動採点できる問題集を大量に用意するか。前者が事前学習とスケールアップで、これには巨額の計算資源が要ります。論文は後者を選びました。

ただし「採点」は模範解答との文字列比較ではありません。ソフトウェアを実際にビルドして動かし、攻撃が成立したかをプログラムで観測することです。脆弱性の再現なら、同じ攻撃コードが脆弱なビルドでは狙った異常を起こし、修正済みビルドでは起こさないことまで確認します(§3.2)。この問題集を論文は環境（environment）と呼び、使い捨てではなくリセットできることを要件にしています。

前提: ポストトレーニングは何をしているのか

言語モデルの学習は「次のトークンを当てる」ゲームです。お手本を1トークンずつ見せ、モデルの付けた確率が低ければ損失が大きくなる。その損失を下げる方向へパラメータを少し動かす——これが勾配降下法です。SFT（教師あり微調整）は、お手本を「良い振る舞いの記録」に差し替えて同じことをもう一度やる工程だと思ってください。

動かす量を決めるのが学習率です。論文は最初の5%で $1\times10^{-5}$ まで温め、コサイン曲線で $5\times10^{-7}$ へ落としています(§4.3)。なぜそこまで小さいのかは、下の図で学習率を上げてみると体感できます。

5つの道具のうち、2つは最終的に使われていない

論文は5つの仕組みに名前を付けます。ここは切り分けて読む必要があります。

• Choulea: 商用APIが返す暗号化された推論ブロックから元の思考を復元する技術。復元率は高い（2026年8月21日の防御更新前で加重平均 92.8%）ものの、復元した思考は学習データとして使っていない(§2.1)。予算に加え、提供元ごとの分布の不安定さや罠混入の可能性が理由です。著者らはここから「復元率の高さは学習上の有用性を意味しない」という教訓を引きます。
• SkyReal: 教師サンプリング費用を下げるため、グレーマーケットの低価格アカウント供給網を分析・利用する仕組み。最終パイプラインでは不採用（社内要件を満たさなかった、と論文は書いています）(§2.2)。
• Hongzwang: 拒否や利用制限のあるAPIから目的の作業を完遂させる仕組み。これも不採用(§2.3、Ethics Statement)。
• PSBreakup と Kreator: この2つが実際に使われました。

つまり、見出しの成果を支えているのは後ろの2つとデータエンジンであり、前の3つの寄与は論文自身が否定しています。

実際に効いた2つ

PSBreakup の出発点は、Kimi K3 のオンラインAPIが公開ウェイト版よりサイバー課題で明らかに強く、しかもその差が他領域では小さい、という観察でした。著者らは MOPD などのモデルマージが公開版のこの能力を弱めたと推測します。根拠は、プロンプトを工夫すればウェイトを変えずに失われた振る舞いがかなり戻ること——能力は消えたのではなく潜っている(§2.4)。PSBreakup は、ベンチマーク同士の干渉から領域の区切りを推定し（3モデルで12／8／9領域）、同じ凍結モデルから領域ごとの教師を作り、目標領域は回復方向・他領域は維持方向にトークン単位の逆KL蒸留をかけます。維持項が肝で、目標領域だけを普通にSFTすると600B超では行き過ぎて他の能力を壊しうる、と論文は述べます。

Kreator はエクスプロイト作成（EXP）向けです。教師モデルでも解けない課題が多く正例が足りないので、詰まった場面でだけ人間の専門家が「足りない1手」を与えます（環境あたり平均3.6ターン）。ただし介入をそのまま残すと、モデルは外から助けが来るのを待つことを学んでしまう。そこで介入ターンだけを教師自身の一人称の思考に書き直し、前後の検証済み軌跡はそのまま残します(§2.5)。

55個のV8環境での比較が示唆的です。外部の最強モデル（GPT-5.6 Sol）に書き直させると27件、教師自身なら32件、下流の生徒（Qwen3.8-27B）の口調なら31件が実行検証を通りました。単体で最も賢い書き手が勝つわけではない。周囲の軌跡や生徒の分布との相性のほうが効いている、というのが論文の解釈です。

データエンジン: 34万件から16万本への漏斗

最終的な混合データは 164,269本（基本コーディング 28,177、セキュリティ・ハードウェア 136,092）です(§3.4)。