Aikido introduceert Altar-1: 328 GB AI‑model voor air‑gapped penetratietesten

Aikido Security heeft de uitgave van Altar-1 aangekondigd, een open‑weight model dat is opgebouwd op de GLM‑5.3‑architectuur van Z.AI en specifiek gericht is op defensieve beveiligingswerkbelastingen, zoals geautomatiseerde code‑analyse en kwetsbaarheidsdetectie.

Het voornaamste doel van het bedrijf is te garanderen dat broncode, architectuurdocumenten en eventuele onbehandelde bevindingen nooit de infrastructuur van de klant verlaten, een cruciale eis voor sterk gereguleerde en geïsoleerde netwerken waar datalekken onacceptabel zijn.

Modelcompressie en architectuur

Altar-1 is gecomprimeerd van ongeveer 1,51 TB in BF16‑precisie tot 328 GB door middel van AWQ INT4‑kwantisatie in combinatie met expert‑pruning. Deze methode behoudt 168 van de oorspronkelijke 256 gerouteerde experts en activeert acht experts per token, waardoor een efficiënte balans tussen grootte en prestaties wordt bereikt.

Volgens Aikido draait het model op één knooppunt uitgerust met vier NVIDIA H200‑GPU’s via vLLM en ondersteunt het een contextvenster van 128 k tokens, waardoor het geschikt is voor grootschalige code‑analyse en lange‑documentverwerking zonder externe afhankelijkheden.

Trainingsdata en privacy

Aikido benadrukt dat er tijdens de kalibratie geen klantdata is gebruikt. De trainingsset bestond uit penetratietest‑traces, programmeer‑voorbeelden, patronen voor tool‑aanroepen, redeneringsstappen en meertalige tekst, alles afkomstig uit publiek toegankelijke repositories, waardoor privacy‑risico’s geminimaliseerd blijven.

Benchmark‑prestaties

In een interne benchmark die 32 bekende kwetsbaarheden over 30 repositories omvatte, behaalde Altar-1 een gemiddelde recall van 60,4 % en identificeerde het 23 kwetsbaarheden minstens één keer in drie afzonderlijke runs.

Het volledige‑precisie‑oudermodel registreerde een recall van 65,6 % en vond 25 kwetsbaarheden, wat betekent dat Altar‑1 ongeveer 92 % van de oorspronkelijke dekking behoudt ondanks de agressieve compressie.

• Gecomprimeerde grootte: 328 GB (van 1,51 TB)
• Kwantisatie: AWQ INT4
• Behouden experts: 168 van 256, acht actief per token
• Hardware: vier NVIDIA H200 GPU’s op één knooppunt
• Contextvenster: 128 k tokens

De benchmark is vendor‑gevoerd en richt zich uitsluitend op de recall van bekende kwetsbaarheden; hij evalueert niet het vermogen van het model om onbekende fouten te ontdekken, exploits te valideren of remediatie‑adviezen te genereren.

De technische keuzes die Aikido heeft gemaakt rond compressie en kwantisatie vormen de basis voor een praktisch inzetbaar model, maar ze brengen ook inherente beperkingen met zich mee. Het behouden van 168 experts uit het oorspronkelijke 256‑expertensysteem en het activeren van slechts acht experts per token betekent dat er een aanzienlijke reductie plaatsvindt in de diversiteit van de representaties die het model kan oproepen. Deze beperking kan zich uiten in een verminderde gevoeligheid voor minder frequente code‑patronen of obscure programmeertalen, waardoor de detectie van niche‑kwetsbaarheden mogelijk ondermaats blijft. Bovendien kan de INT4‑kwantisatie, hoewel zeer efficiënt qua geheugen, de fijnmazige gewichtswaarden die nodig zijn voor subtiele redeneringsstappen enigszins vervagen, wat een directe impact kan hebben op de nauwkeurigheid van complexe logische inferenties die in geavanceerde penetratietests vereist zijn.

De privacy‑garantie die Aikido claimt – namelijk dat er geen klantdata is gebruikt tijdens de training – is een belangrijke stap richting compliance, maar er blijven verificatie‑uitdagingen bestaan. Omdat het model is getraind op publiek beschikbare repositories, is er een risico dat bepaalde patronen of kwetsbaarheden die in die data voorkomen, per ongeluk als “normaal” worden gemarkeerd, terwijl ze in een specifieke bedrijfscontext als kritiek worden beschouwd. Een grondige audit van de gebruikte trainingsset, bijvoorbeeld door een onafhankelijke derde partij, is noodzakelijk om te bevestigen dat er geen onbedoelde bias of informatie‑lekkage aanwezig is, vooral wanneer het model binnen streng gereguleerde sectoren wordt ingezet.

De interne benchmark die een recall van 60,4 % rapporteert, biedt een eerste indicatie van de effectiviteit, maar de testopzet kent duidelijke beperkingen. De focus op bekende kwetsbaarheden in een beperkt aantal repositories betekent dat het model niet wordt beoordeeld op zijn vermogen om zero‑day of nog niet gedocumenteerde fouten te identificeren. Daarnaast wordt de robuustheid van de resultaten niet geëvalueerd onder variabele omstandigheden, zoals code‑bases met onconventionele structuren of gemengde programmeertalen. Het ontbreken van metingen voor precisie, false‑positive rate en de kwaliteit van gegenereerde remediatie‑adviezen maakt het moeilijk om een volledig beeld te krijgen van de operationele bruikbaarheid in een real‑world security‑operatie.

De keuze om Altar‑1 op één knooppunt met vier NVIDIA H200‑GPU’s te laten draaien, gecombineerd met een contextvenster van 128 k tokens, maakt het mogelijk om lange code‑bestanden en uitgebreide architectuurbeschrijvingen in één keer te verwerken. Echter, de afhankelijkheid van specifieke high‑end hardware kan een barrière vormen voor organisaties met beperktere budgetten of bestaande infrastructuren die niet eenvoudig kunnen worden opgeschaald. Bovendien kan de maximale token‑lengte een beperking opleveren wanneer zeer grote monolithische projecten of samengestelde build‑artefacten moeten worden geanalyseerd, waardoor extra pre‑processing of chunking noodzakelijk wordt, wat weer extra complexiteit en mogelijke fouten introduceert.

De praktische implicaties voor organisaties die een air‑gapped omgeving willen behouden, zijn significant. Door de modelgrootte te reduceren tot 328 GB kan Altar‑1 op conventionele on‑premises servers worden geïnstalleerd zonder dat er gespecialiseerde opslagcapaciteit nodig is, wat de adoptiekost verlaagt. Tegelijkertijd blijft de dekking van ongeveer 92 % van de oorspronkelijke recall behouden, waardoor de meeste kritieke kwetsbaarheden nog steeds gedetecteerd worden. Dit stelt security‑teams in staat om sneller testcycli uit te voeren, zonder afhankelijk te zijn van externe cloud‑services, en vermindert het risico op datalekken tijdens de analysefase. Echter, de resterende 8 % verlies in dekking moet zorgvuldig worden afgewogen tegen de risico‑tolerantie van de organisatie, vooral in omgevingen waar zelfs een enkele onopgemerkte kwetsbaarheid ernstige gevolgen kan hebben.

Om de inzet van Altar‑1 in een productie‑omgeving te optimaliseren, is een reeks aanvullende verificatiestappen aan te raden. Ten eerste dient men een continue evaluatie‑framework op te zetten waarin periodiek nieuwe, onbekende kwetsbaarheden worden toegevoegd aan de benchmarkset, zodat het model zijn prestaties op onbekende patronen kan aantonen. Ten tweede is het cruciaal om een integratie‑pipeline te ontwerpen die zowel de output van Altar‑1 als menselijke beoordeling combineert, waardoor false‑positives tijdig kunnen worden gefilterd en remediatie‑adviezen kunnen worden gevalideerd. Ten slotte moet er een monitoring‑mechanisme worden geïmplementeerd dat resource‑gebruik, latency en eventuele afwijkingen in modelgedrag detecteert, zodat organisaties proactief kunnen reageren op degradatie of onverwachte gedragingen, wat de algehele betrouwbaarheid van autonome penetratietesten in een streng geïsoleerde omgeving versterkt.

Voor Nederlandse organisaties biedt Altar‑1 een praktische manier om autonome penetratietesten in volledig geïsoleerde omgevingen te integreren zonder gevoelige assets bloot te stellen aan externe cloud‑diensten. De gereduceerde voetafdruk maakt inzet op standaard on‑premises hardware mogelijk, terwijl de behouden dekking ervoor zorgt dat de meeste bekende problemen nog steeds worden opgespoord, waardoor beveiligingsteams een snellere, zelf‑containende testcapaciteit krijgen.