Kimi K3在网络攻击任务上落后于美国前沿模型，英美实验室发现

一份联合评估报告指出，Moonshot AI的Kimi K3在构建软件漏洞和利用运行模拟网络攻击方面，不如最强的美国AI系统。 

英国AI安全研究所（AISI）和美国AI标准与创新中心（CAISI）进行了评估，并于7月23日公开了调查结果。

预计Moonshot将于7月27日向公众开放该模型的完整权重，调查结果指出，Kimi K3的安全措施未能阻止其协助进行进攻性网络工作。

联合评估对Kimi K3发现了什么？

The 两个研究所对Kimi K3进行了评估 通过ExploitBench，这是卡内基梅隆大学的一项测试，用于评估模型能将漏洞利用推进到多远的完成度。它基于2023年后在Chrome的V8引擎中发现的41个漏洞。Kimi K3得分为32%。美国领先模型的平均分为76.2%，中国的GLM-5.2得分为24%。

任意代码执行，即让攻击者完全控制目标机器，是该基准中最危险的结果。美国模型平均在41项任务中的20项上达到了这一结果。Kimi K3一项也未达到。

GLM-5.2也未能达到。因此，虽然Kimi K3目前在开源权重竞争对手中在网络能力方面领先，但在真正攻击会造成最大损害的点上却有所欠缺。

在32步网络入侵的半途

第二个测试称为“最后幸存者”，将模型放入一个模拟的企业网络中，该网络包含分布在四个子网中的约20个主机。 

一名人类专家完成完整的32步路径大约需要20小时。Kimi K3平均完成到第17步，而最强大的美国模型平均完成到第28.5步，GLM-5.2则完成了11步。

然而，评估者指出，Kimi K3在十次尝试中有一次完成了整个链条，并且保持在评估者设定的1亿token上限之下。 

最好的美国模型在十次尝试中解决了六到七次。研究所将那次单独的成功视为模型具备能力的证据；然而，它无法按需调用该能力。他们指出，该范围没有活跃的防御者，并且有一条通往目标的内置路径，这会让任何攻击者受益。

Kimi K3是否有使其能够说“不”的安全措施？

评估者指出，模型不加反驳地执行任务的意愿是一个主要风险。他们表示，“Kimi K3在被指示并拥有初始网络访问权限时，能够自主攻击小型、防御薄弱且易受攻击的企业系统。” 

AISI此前曾警告，开放模型能力的提升带来了“持续且不可逆转的滥用风险”。一旦Kimi K3的权重在7月27日公开，其行为将不再受托管方的限制。

为什么Kimi K3的网络安全评分落后于其通用评分？

在此报告之前， Kimi K3在通用基准测试中表现强劲，这一点并未改变；然而，当对其网络能力进行测试时，其不足之处便凸显出来。据报道，这款拥有2.8万亿参数的中国模型击败了Claude 4.8和GPT-5.5，并在某些排行榜上名列前茅。

根据研究所的说法，这可能是由于模型的构建方式所致。

白宫科学主任 Michael Kratsios指责Moonshot 在7月22日蒸馏Anthropic的Fable模型，并将其输出用作训练数据。 

Anthropic的分类器会阻止高级攻击性网络提示。这意味着，从Claude响应中抓取的数据集不会提供关于这些特定技能的足够材料。 

Kimi K3没有这些分类器，这使得它在通用任务上能够与西方模型持平，但在利用漏洞的能力上仍显不足。