Модель Kimi K3.1 Pro научилась ломать Linux без спроса и тут же попала под нож
Китайская Moonshot AI намеренно ослабила способность новой нейросети Kimi K3.1 Pro находить и эксплуатировать уязвимости. Разработчики пожертвовали частью возможностей модели в области кибератак, чтобы снизить риск злоупотреблений перед публикацией её открытых весов.
Согласно техническому описанию, компания исключила из обучения часть материалов, связанных с поиском уязвимостей и наступательными кибероперациями. В результате успешность выполнения соответствующих заданий на внутреннем тесте снизилась с 90,5% до 81%. При этом Moonshot утверждает, что сохранила высокую производительность нейросети в обычном программировании и других задачах.
Разница в 9,5 процентного пункта стала результатом целенаправленного вмешательства в обучение, а не случайным побочным эффектом. Для сравнения разработчики использовали две версии модели, созданные по одной схеме. Первая обучалась без специальных ограничений на материалы по кибербезопасности, а вторая прошла дополнительную фильтрацию. Независимые исследователи пока не подтвердили заявленные результаты.
Moonshot обнаружила, что навыки поиска программных ошибок развиваются у Kimi даже без специальной подготовки к кибератакам. Материалы по безопасности присутствовали в общем обучающем наборе, а соответствующие задания встречались во время обучения с подкреплением, когда нейросеть совершенствует навыки, получая обратную связь за выполненные действия. Разработчики очистили оба источника, сохранив обычные задачи по написанию и отладке программ.
Для проверки использовали внутренний тест xdev-bench-hard, основанный на реальных программных уязвимостях. Задания воспроизводят ошибки в ядре Linux, Node.js, JavaScriptCore, почтовом сервере Exim и графической подсистеме VirGL. Нейросеть получает исходный код, исполняемый файл и короткую подсказку, после чего должна самостоятельно разработать эксплойт, добиться выполнения произвольного кода в изолированной среде и извлечь контрольную строку.
Результат 81% не означает, что Kimi способна взломать восемь из десяти произвольных программ. Разработчики оценивали успешность максимум за три попытки на специально подготовленных заданиях, причём модель заранее получала подсказку и доступ к уязвимому коду. Жёстких ограничений по времени и количеству генерируемого текста тест не предусматривал. Поэтому переносить показатели напрямую на реальные атаки нельзя.
Несмотря на ограничения, новая Kimi оказалась значительно сильнее предшественницы. На том же тесте Kimi K3 набрала 33,3%, тогда как K3.1 Pro достигла 81%. По оценке Moonshot, развитие общих навыков программирования, поиска ошибок и выполнения длинных последовательностей действий автоматически улучшает способность нейросети решать задачи кибербезопасности, даже если специально обучать её взлому перестали.
Решение связано с планами открыть веса Kimi K3.1 Pro до 4 ноября 2026 года. Веса представляют собой файлы с обученными параметрами нейросети, благодаря которым сторонние разработчики смогут запускать модель на собственных серверах и изменять её поведение. После свободного распространения таких файлов компания практически потеряет возможность централизованно контролировать доступ к системе, отслеживать её применение и принудительно обновлять защитные ограничения.
Moonshot объясняет выбранный подход стремлением не выпускать открытую модель, которая установит новый рекорд по возможностям наступательных кибератак. При этом компания не собирается полностью лишать Kimi навыков анализа уязвимостей. Разработчики считают, что свободный доступ к подобным инструментам поможет организациям проверять собственный код, включая старые системы, которые редко проходят полноценный аудит безопасности.
Ограничения не гарантируют, что будущие владельцы открытых весов не смогут усилить возможности Kimi в области взлома. Сторонние разработчики получат возможность дополнительно обучать модель на специализированных наборах данных и создавать собственные инструменты. Пока неизвестно, насколько сложно будет восстановить способности, которые Moonshot попыталась ослабить. Компания также не представила независимых доказательств устойчивости выбранного метода.
При этом Kimi K3.1 Pro остаётся одной из наиболее мощных разработок Moonshot. Модель содержит 2,8 трлн параметров, хотя при обработке каждого токена задействует около 104 млрд благодаря архитектуре с выборочным подключением экспертных компонентов. Контекстное окно достигает миллиона токенов, позволяя работать с большими программными проектами, документами и длинными последовательностями команд.
По внутренним испытаниям Moonshot, на тесте программирующих ИИ-агентов Terminal-Bench 4.0 новая модель получила 65,7% против 58,2% у GPT-6 Astra и 66,4% у Claude Opus 5.5. Разработчики также заявляют об улучшениях в создании трёхмерных моделей, финансовом анализе и сложных многоэтапных задачах. Результаты основаны на выбранных компанией условиях тестирования и не означают безусловного превосходства Kimi над конкурентами.
Kimi K3.1 Pro уже доступна через веб-сервис, приложения компании, инструменты Kimi Work и Kimi Code, а также программный интерфейс API. Одновременно выпущена версия Highspeed, которая, по заявлению разработчиков, работает в два-три раза быстрее при сохранении возможностей основной модели. Полноценный независимый анализ открытых весов станет возможен после их публикации.
Выход Kimi совпал с усилением внимания китайских властей к технологиям автоматизированного взлома. В октябре Пекин предложил новые экспортные ограничения, затрагивающие создание и модификацию вредоносного ПО с помощью искусственного интеллекта (ИИ), а также инструменты автоматического поиска уязвимостей. Проект предусматривает меры против распространения технологий, способных угрожать критической инфраструктуре, оборонным предприятиям и государственным системам. Предложения пока проходят общественное обсуждение.
История Kimi показывает противоречие, с которым сталкиваются разработчики открытых нейросетей. Чем лучше ИИ умеет программировать, самостоятельно искать ошибки и работать с инструментами, тем полезнее становится для защитников и потенциально опаснее для атакующих. Moonshot впервые для своей новой модели представила конкретную цену добровольного ограничения таких возможностей. Однако даже после снижения результатов K3.1 Pro сохранила высокую эффективность на заданиях по эксплуатации уязвимостей, а устойчивость ограничений к последующему дообучению ещё предстоит проверить.