Kimi K3 completa un ataque de red simulado

Kimi K3 completó una vez un ataque de red simulado de 32 pasos en 10 intentos, convirtiendo un llamativo titular de Google News en una cuestión de seguridad más compleja.

El modelo de pesos abiertos no dominó la evaluación. Alcanzó el paso 17 de media, frente a los 28,5 de los modelos estadounidenses más capaces. Tampoco completó ninguna de las 41 tareas que requerían ejecución arbitraria de código, la capacidad de tomar el control de un sistema objetivo.

Aun así, la ejecución exitosa importa. Moonshot AI publicó los pesos de Kimi K3 después de que evaluadores gubernamentales demostraran que podía recorrer de forma autónoma una red corporativa deliberadamente vulnerable. El resultado sitúa el acceso abierto y los controles de seguridad desplegables en lados opuestos del mismo avance técnico.

Los principales modelos cerrados ya realizan estas tareas con mayor fiabilidad. La distribución de pesos abiertos cambia el riesgo porque operadores externos pueden descargar, modificar, ajustar y desplegar el modelo subyacente sin que su desarrollador controle cada interacción.

Por lo tanto, el titular no es ni “Kimi K3 supera a los modelos estadounidenses” ni “Kimi K3 suspendió una prueba cibernética”. El avance importante es que un modelo descargable cruzó un umbral operativo, aunque siga muy por detrás de la frontera de los modelos cerrados.

Lo que realmente encontró la evaluación cibernética de Kimi K3

Kimi K3 completó el recorrido una vez, pero su rendimiento medio siguió muy por debajo de los líderes de modelos cerrados.

El UK AI Security Institute y el US Center for AI Standards and Innovation publicaron su evaluación cibernética conjunta el 23 de julio de 2026. Describieron el trabajo como una evaluación preliminar que utilizaba una pequeña colección de benchmarks públicos y privados.

La evaluación cubrió dos capacidades relacionadas. El desarrollo de exploits medía si el modelo podía convertir una vulnerabilidad de software en un ataque funcional. Un entorno de pruebas cibernéticas medía si podía sostener la planificación y la acción a través de una red empresarial simulada.

Ese entorno de pruebas, llamado “The Last Ones”, contiene 32 pasos secuenciales. Abarca cuatro subredes y aproximadamente 20 hosts. Los evaluadores estimaron que un experto humano necesitaría unas 20 horas para completarlo.

Kimi K3 recibió acceso inicial a la red e instrucciones para atacar el entorno. Después tuvo que descubrir hosts, identificar debilidades, desplazarse por la red y continuar por una ruta de ataque construida intencionalmente.

En 10 intentos, el modelo alcanzó el paso 17 de media. Los principales modelos estadounidenses con capacidades cibernéticas alcanzaron una media de 28,5 pasos en la comparación de los evaluadores.

Kimi K3 completó los 32 pasos durante un intento. Esa ejecución exitosa se produjo dentro de un límite de 100 millones de tokens, que dio al agente un margen considerable para razonamiento prolongado, uso de herramientas y acciones repetidas.

Los principales modelos cerrados fueron considerablemente más consistentes. Modelos evaluados anteriormente completaron el recorrido en seis o siete de cada 10 intentos. Por tanto, el único intento exitoso de Kimi K3 demuestra capacidad, no fiabilidad.

La distinción es esencial. Una única finalización muestra que el modelo puede reunir el comportamiento necesario en condiciones favorables. Las nueve ejecuciones incompletas muestran que aún no puede reproducir ese comportamiento de forma fiable.

Kimi K3 también superó a GLM-5.2, que los evaluadores identificaron como el modelo cibernético de pesos abiertos más potente disponible en junio de 2026. Kimi promedió el paso 17, mientras que GLM-5.2 promedió el paso 11.

En ExploitBench, Kimi K3 obtuvo un 32 por ciento, frente al 24 por ciento de GLM-5.2. ExploitBench pide a los modelos desarrollar exploits de extremo a extremo a partir de vulnerabilidades proporcionadas.

El resultado fue más débil en el nivel con mayores consecuencias. Kimi K3 logró ejecución arbitraria de código en cero de 41 muestras. Los modelos comparadores más capaces promediaron 20 muestras exitosas de 41.

La ejecución arbitraria de código permitiría a un atacante ejecutar comandos elegidos en un objetivo comprometido. El fracaso en esa fase indica que Kimi K3 a menudo encontraba componentes parciales de ataque, pero tenía dificultades para completar una cadena de exploit íntegra.

Los resultados públicos respaldan así dos conclusiones a la vez. Kimi K3 queda muy por detrás de la frontera cerrada y establece un nuevo máximo entre los modelos de pesos abiertos evaluados.

Esa combinación creó la tensión detrás de la cobertura de Google News. La ejecución completada es real dentro del benchmark, pero no puede separarse del menor rendimiento medio del modelo ni de las condiciones artificiales del entorno.

Por qué los pesos abiertos cambian el cálculo de seguridad

El riesgo central no es que Kimi K3 lidere la frontera cibernética, sino que sus capacidades puedan circular sin que Moonshot controle el despliegue.

Una publicación de pesos abiertos proporciona los parámetros numéricos aprendidos que se utilizan para generar las respuestas del modelo. Ese acceso permite a operadores independientes alojar el modelo, inspeccionar partes de su comportamiento y adaptarlo a tareas especializadas.

Los pesos abiertos no son idénticos al código abierto completo. Los datos de entrenamiento, el código de desarrollo y el proceso completo de entrenamiento pueden seguir sin estar disponibles. Sin embargo, el acceso a los pesos transfiere mucho más control que un chatbot alojado o una interfaz de programación de aplicaciones convencional.

Moonshot describe Kimi K3 como un modelo de mezcla de expertos con 2,8 billones de parámetros. Una arquitectura de mezcla de expertos dirige cada entrada a través de componentes seleccionados del modelo en lugar de activar todos los parámetros simultáneamente.

Según el documento técnico del modelo, Kimi K3 activa 104.000 millones de parámetros y 16 de sus 896 expertos enrutados para cada token. También admite visión nativa y una ventana de contexto de un millón de tokens.

Moonshot afirma que su arquitectura ofrece una eficiencia de escalado aproximadamente 2,5 veces superior a la de Kimi K2. La empresa atribuye esa mejora a nuevos mecanismos de atención, un diseño de expertos disperso y métodos de entrenamiento revisados.

Estas especificaciones ayudan a explicar la capacidad del modelo para sostener tareas largas. Una simulación de intrusión en red exige más que responder preguntas aisladas. El agente debe mantener objetivos, interpretar la retroalimentación de las herramientas, actualizar su estrategia y ejecutar muchas acciones dependientes.

Las mismas cualidades agénticas respaldan trabajo legítimo. Los desarrolladores pueden utilizarlas para mantenimiento de código, análisis de vulnerabilidades, investigación de incidentes y pruebas defensivas. Los investigadores pueden reproducir hallazgos sin enviar material sensible a un proveedor alojado.

El despliegue abierto también puede mejorar la privacidad y el control operativo. Una organización puede mantener prompts, código fuente y registros dentro de la infraestructura que elija. Puede inspeccionar el software circundante y decidir cuándo el modelo recibe acceso a herramientas.

Sin embargo, las salvaguardas a nivel de proveedor se vuelven más difíciles de aplicar después de que los pesos salen del desarrollador. Un proveedor alojado puede supervisar solicitudes, suspender cuentas abusivas, actualizar clasificadores, restringir herramientas y cambiar los prompts del sistema.

Un operador independiente puede eliminar esas capas. El comportamiento de rechazo incorporado en el modelo también puede debilitarse mediante ajuste fino u otras modificaciones.

El análisis de pesos abiertos más amplio del instituto británico afirma que los controles de despliegue no pueden aplicarse universalmente una vez que los pesos se hacen públicos. También advierte que el entrenamiento de rechazo puede ser reversible cuando los operadores poseen el modelo.

Esto hace que Kimi K3 sea diferente de un modelo cerrado con un rendimiento cibernético más sólido. Un proveedor cerrado puede colocar controles entre el modelo y el usuario, aunque esos controles sigan siendo imperfectos.

La evaluación de Kimi concluyó que sus salvaguardas no impidieron intentos de desarrollo de exploits u operaciones ofensivas. Sin embargo, la comparación requiere cautela porque los evaluadores desactivaron las salvaguardas a nivel de sistema de los modelos cerrados estadounidenses para medir sus capacidades máximas.

Las versiones públicas de esos sistemas cerrados normalmente incluyen controles adicionales. Por tanto, la prueba compara más directamente la capacidad subyacente, pero no representa la experiencia de un usuario público común.

El riesgo de los pesos abiertos se sitúa en la intersección de capacidad, acceso y control. Kimi K3 es menos capaz que los principales modelos cerrados, pero un operador decidido tiene más libertad para modificar su despliegue.

Por eso la simulación completada merece atención más allá de un resultado llamativo de Google News. Marca avances en una categoría en la que la seguridad no puede depender por completo de que el proveedor original conserve el control.

Google News captó el éxito, no los límites del benchmark

El ataque simulado se diseñó para medir la capacidad a largo plazo, no para reproducir la incertidumbre de una empresa defendida.

“The Last Ones” contiene una secuencia intencional de sistemas vulnerables. Comienza después del acceso inicial a la red, por lo que el modelo no necesita resolver todos los problemas implicados en llegar a un entorno corporativo real.

El entorno no tiene defensores activos. Carece de herramientas defensivas que aislarían máquinas, bloquearían tráfico sospechoso, rotarían credenciales o interrumpirían a un atacante tras una alerta.

Tampoco impone penalización alguna por comportamiento ruidoso. En una red real, escaneos repetidos, inicios de sesión fallidos, ejecución inusual de comandos y movimiento lateral pueden generar alertas mucho antes de que un atacante alcance un objetivo final.

Estas condiciones no invalidan el resultado. Los benchmarks controlados eliminan variables externas para que los evaluadores puedan comparar modelos frente a la misma tarea. Son instrumentos de diagnóstico, no predicciones de un rendimiento garantizado en el mundo real.

La tasa de finalización de uno de cada 10 crea otra limitación. Un operador malicioso no puede asumir que Kimi K3 completará un ataque comparable bajo demanda. Los intentos fallidos pueden consumir tiempo, tokens, infraestructura y oportunidades, al tiempo que exponen la operación.

El límite de 100 millones de tokens también importa. Da al agente margen para una experimentación y recuperación amplias. Un modelo que tiene éxito tras un prolongado proceso de prueba y error plantea una amenaza diferente de otro que actúa con rapidez y consistencia.

Aun así, la automatización poco fiable puede tener valor práctico para un atacante. El software puede volver a ejecutarse, paralelizarse o asignarse a muchos objetivos. Una baja tasa individual de éxito adquiere más importancia cuando disminuye el coste de intentar ejecuciones adicionales.

Los resultados de exploits muestran dónde permanece el límite actual. Kimi K3 podía realizar partes de flujos de trabajo ofensivos, pero no completó ninguna de las 41 muestras de ejecución arbitraria de código.

El propio documento de Moonshot identifica debilidades recurrentes en el trabajo avanzado de exploits. El modelo puede quedar atrapado en depuración improductiva, elegir estrategias deficientes ante mitigaciones o no verificar un resultado final.

Se trata de carencias sustanciales. Afectan a si el conocimiento técnico parcial se convierte en una intrusión funcional en lugar de una colección incompleta de comandos y observaciones.

La evaluación tampoco establece que Kimi K3 descubriera vulnerabilidades previamente desconocidas durante el entorno de red. Probó el rendimiento frente a un entorno construido por expertos que contenía debilidades previstas.

El resultado tampoco demuestra que el modelo seleccionara de forma independiente un objetivo real. Los evaluadores proporcionaron un objetivo, acceso inicial, un entorno controlado y herramientas. El agente operó dentro de esa configuración.

Los titulares tienden a reducir estas condiciones a un resultado binario. “Completa un ataque de red simulado” es preciso, pero incompleto sin la tasa de uno de cada 10 y el promedio más débil del modelo.

El resumen opuesto también sería engañoso. Calificar la evaluación como un fracaso porque Kimi quedó por detrás de los sistemas estadounidenses pasaría por alto su ventaja sobre GLM-5.2 y su ejecución autónoma exitosa.

La mejor lectura interpreta el benchmark como una señal de alerta temprana. Muestra que los modelos abiertos están adquiriendo cadenas operativas más largas, al tiempo que evidencia lo lejos que sigue estando su consistencia de la frontera.

Por tanto, los lectores de Google News deberían separar tres afirmaciones. Kimi K3 completó el recorrido una vez. No igualó a los principales modelos cerrados. El resultado no demostró ataques fiables contra empresas reales con defensas.

La Verdadera Competencia Es Capacidad Frente a Contención

A medida que los modelos abiertos se acercan a la frontera cerrada, la cuestión deja de ser quién obtiene la puntuación más alta y pasa a ser qué salvaguardas siguen siendo aplicables.

Moonshot lanzó Kimi K3 el 16 de julio y posteriormente publicó todos sus pesos. La compañía posicionó el sistema para programación, razonamiento, trabajo de conocimiento y tareas de agentes de largo horizonte.

Su rendimiento en ciberseguridad es un subproducto de esas capacidades generales. Los modelos entrenados para navegar repositorios, depurar programas, usar terminales y completar planes extensos pueden aplicar habilidades similares al trabajo de seguridad.

Ese solapamiento hace que la capacidad cibernética tenga un uso dual. Un defensor necesita comprender vulnerabilidades, reproducir ataques, inspeccionar código malicioso y validar si un parche funciona. Un atacante se beneficia de muchas de las mismas habilidades técnicas.

Bloquear todas las solicitudes relacionadas con la seguridad reduciría el valor legítimo. Permitir todas las solicitudes crearía riesgos evidentes de uso indebido. Por ello, los proveedores recurren a políticas sensibles al contexto, supervisión, controles de cuentas y límites al acceso a herramientas.

Los pesos abiertos debilitan la capacidad del proveedor para aplicar ese equilibrio. Un operador puede desplegar el modelo sin verificaciones de identidad ni registros centralizados. También puede rodearlo de herramientas personalizadas y automatización.

Esto no significa que cada despliegue con pesos abiertos sea peligroso. La mayoría de los usuarios carece de la infraestructura, el acceso, la experiencia o la intención necesarios para operaciones de intrusión significativas.

Ejecutar un modelo de 2,8 billones de parámetros también requiere recursos informáticos considerables. La disponibilidad de los pesos no convierte a Kimi K3 en una aplicación de consumo que cualquiera pueda operar eficientemente en un portátil.

Los proveedores de infraestructura aún pueden aplicar controles. Los anfitriones de nube, las empresas de servicio de modelos, las plataformas de código y los operadores de red pueden detectar abusos o restringir determinados despliegues. Las organizaciones también pueden limitar a los agentes mediante sandboxing y acceso con privilegios mínimos.

Sin embargo, esos controles están fragmentados. No ofrecen el punto central de aplicación disponible cuando un desarrollador de modelos opera la única interfaz.

El lado de los modelos cerrados tiene sus propias debilidades. Las salvaguardas del proveedor pueden fallar, y los usuarios decididos pueden encontrar formas de sortearlas. Un proveedor también puede cambiar las reglas de acceso, recopilar registros sensibles o discontinuar un servicio del que dependen sus clientes.

Los modelos abiertos ofrecen inspección, portabilidad y control local. Pueden reducir la dependencia de un único proveedor y respaldar investigaciones que las interfaces cerradas no pueden admitir.

Eso convierte la cuestión de seguridad en una disyuntiva, no en un referéndum sobre la apertura. El desafío relevante es identificar controles que sobrevivan al despliegue independiente sin eliminar el acceso legítimo.

Los posibles controles incluyen datos de entrenamiento más seguros, restricciones conductuales más difíciles de eliminar, calendarios de lanzamiento controlados, evaluaciones independientes y restricciones sobre combinaciones de herramientas de alto riesgo.

Ninguno ofrece una respuesta completa. Las salvaguardas conductuales pueden modificarse. Las evaluaciones pueden pasar por alto capacidades ocultas. Las restricciones de lanzamiento pueden concentrar el control sin impedir una proliferación posterior.

Los detalles del lanzamiento de Kimi K3 ilustran por qué la presión continuará. Moonshot creó el modelo para la ejecución de largo horizonte y lo lanzó en productos de consumo, programación, empresa y API.

Su contexto de un millón de tokens y su entrenamiento de agentes son comercialmente útiles. Las mismas propiedades ayudan a un modelo a mantenerse involucrado a lo largo de una ruta de ataque extensa.

Los proveedores cerrados como Anthropic y OpenAI afrontan presión desde ambas direcciones. Deben mejorar la seguridad mientras compiten con sistemas descargables que los clientes pueden adaptar y alojar en otros lugares.

Otros desarrolladores de modelos abiertos enfrentan una exigencia diferente. Deben explicar qué evaluación tuvo lugar antes del lanzamiento y qué controles siguen siendo significativos tras la distribución.

Kimi K3 no resuelve esta competencia. Desplaza la frontera de los pesos abiertos lo suficiente como para que las evaluaciones cibernéticas se conviertan en un requisito estándar de lanzamiento en lugar de una prueba externa ocasional.

Lo Que los Equipos de Seguridad Deberían Extraer de Kimi K3

Las organizaciones deberían tratar a los agentes de IA como identidades operativas con permisos restringidos, no como interfaces de chat que simplemente producen texto.

El benchmark comenzó después de que el modelo tuviera acceso al entorno objetivo. Ese detalle refleja el riesgo empresarial más importante: un agente se vuelve peligroso cuando puede conectar el razonamiento con credenciales, terminales, repositorios y herramientas de red.

Las organizaciones deberían primero inventariar dónde pueden actuar los agentes de IA. El mapa relevante incluye acceso a shell, consolas de nube, sistemas de control de código fuente, plataformas de tickets, herramientas de administración remota y secretos almacenados en prompts o archivos.

Los permisos deberían ajustarse a la tarea específica. Un asistente de programación rara vez necesita credenciales de producción sin restricciones. Un agente de pruebas de seguridad rara vez necesita acceso continuo a cada subred.

Las credenciales de corta duración reducen el valor del acceso robado o utilizado indebidamente. Las puertas de aprobación pueden interrumpir acciones de alto impacto, como cambiar políticas de identidad, modificar reglas de firewall o ejecutar código en sistemas de producción.

La segmentación de red también limita la capacidad de un agente para moverse lateralmente. The Last Ones exigía avanzar a través de cuatro subredes, lo que hacía del movimiento entre sistemas parte de la capacidad medida.

Los defensores deberían registrar tanto las interacciones del modelo como la actividad resultante de las herramientas. Los registros de prompts por sí solos no mostrarán si un agente escaneó una red, abrió una sesión remota o modificó un servicio.

La actividad de las herramientas también proporciona señales de detección más sólidas. Los sistemas de seguridad pueden señalar secuencias de comandos anómalas, fallos repetidos de autenticación, creación inusual de procesos o acceso fuera del ámbito asignado a un agente.

Las organizaciones que evalúan pesos abiertos necesitan controles adicionales en torno al entorno de servicio. Deberían verificar la procedencia del modelo, proteger los archivos de pesos, restringir las canalizaciones de ajuste fino y supervisar cambios en los prompts del sistema y las definiciones de herramientas.

Un modelo interno no garantiza automáticamente la privacidad. Los prompts pueden aparecer en registros, sistemas de observabilidad, cachés o plugins de terceros. El despliegue local solo ayuda cuando se gobierna toda la ruta de datos.

Los equipos de seguridad también deberían probar sus controles frente al comportamiento repetido de los agentes. Un modelo puede fallar nueve veces y tener éxito en la décima. Las evaluaciones tradicionales que registran solo un intento pueden subestimar esa persistencia.

Por tanto, las tasas de aprobación y de finalización deberían acompañar cualquier resultado destacado. Los equipos necesitan saber con qué frecuencia tiene éxito un modelo, cuánta capacidad de cómputo consume y qué controles detectan sus intentos.

El CAISI de Estados Unidos tiene el mandato de evaluar capacidades de IA que puedan afectar a la seguridad nacional, según su descripción del programa. Las pruebas conjuntas con el instituto del Reino Unido ofrecen una base útil para una medición coherente.

Sin embargo, las empresas no deberían esperar a que los benchmarks gubernamentales cubran sus entornos exactos. Las pruebas internas pueden modelar las herramientas, los permisos, los sistemas de identidad y la supervisión ya presentes en una compañía.

Los usos defensivos merecen la misma atención. El mismo agente puede ayudar a reproducir vulnerabilidades, probar la segmentación, revisar scripts sospechosos e investigar alertas bajo supervisión humana.

Los equipos deberían definir explícitamente esa supervisión. Una persona que no puede inspeccionar las acciones intermedias del agente ofrece poca protección en la etapa final de aprobación.

La lección práctica no es prohibir Kimi K3 ni los modelos abiertos. Es asumir que agentes capaces estarán disponibles a través de muchos canales de distribución y, después, diseñar controles en torno a aquello a lo que esos agentes pueden acceder.

Tres Señales Que Definirán Lo Que Suceda Después

La siguiente etapa depende de la reproducibilidad, la modificación posterior al lanzamiento y de si las defensas reales detienen el comportamiento observado en el campo de pruebas.

La primera señal es la replicación independiente tras el lanzamiento completo de los pesos. Los investigadores necesitan probar el mismo modelo mediante diferentes pilas de servicio, arneses de agentes, prompts y presupuestos de tokens.

El resultado de un benchmark puede depender en parte del arnés circundante, que proporciona herramientas al modelo y gestiona su ciclo de interacción. La replicación mostraría si la finalización refleja una capacidad estable del modelo o una configuración limitada.

Tasas de finalización más altas reforzarían la preocupación de que los agentes cibernéticos con pesos abiertos están cerrando la brecha operativa. Resultados consistentemente más bajos debilitarían las afirmaciones extraídas de la única ejecución exitosa.

Los investigadores deberían informar de la distribución completa de resultados. Promedio de pasos, finalizaciones exitosas, uso de cómputo, estrategias fallidas y eventos de detección revelan más que una puntuación de clasificación.

La segunda señal es lo que ocurra después de que desarrolladores externos modifiquen Kimi K3. Los pesos abiertos permiten ajuste fino especializado, comportamiento de rechazo alterado, nuevas integraciones de herramientas y diferentes configuraciones de inferencia.

El ajuste orientado a la seguridad podría mejorar el análisis defensivo. El ajuste ofensivo podría aumentar las tasas de finalización de exploits o eliminar salvaguardas que sobrevivieron al proceso de entrenamiento original.

Esta señal será difícil de medir porque los despliegues personalizados pueden permanecer privados. La investigación publicada, los derivados del modelo y los informes de incidentes ofrecerán evidencia parcial.

Una mejora significativa mediante un ajuste fino modesto reforzaría el argumento de que las evaluaciones del modelo base subestiman el riesgo posterior. Una mejora escasa sugeriría que límites de capacidad más profundos siguen siendo difíciles de superar.

La tercera señal es el rendimiento frente a defensas activas. Los futuros campos de pruebas deberían incluir supervisión, protección de endpoints, rotación de credenciales, sistemas engañosos y defensores que respondan a actividad sospechosa.

La ejecución exitosa de Kimi K3 ocurrió sin esos obstáculos. Un modelo que completa una ruta estática puede fallar cuando el entorno cambia después de cada acción detectable.

El éxito frente a defensas responsivas representaría un umbral más serio. El fracaso confirmaría que los agentes actuales siguen siendo frágiles cuando el mundo no espera su siguiente paso.

Estas observaciones importan más que otro titular viral de Google News. La cuestión central es si el éxito poco frecuente de un modelo abierto en laboratorio se vuelve repetible, adaptable y difícil de contener.

Para los desarrolladores, la acción inmediata es exigir un contexto completo de evaluación antes de seleccionar un agente. Para los compradores empresariales, es conectar la adquisición de modelos con controles de identidad, registro y red.

Para los equipos de seguridad, el desafío es concreto: probar qué sucede cuando un agente de IA recibe el mismo acceso que un operador humano. Luego eliminar cada permiso que la tarea no requiera.

Kimi K3 no superó a la frontera cerrada ni conquistó una empresa defendida. Sí demostró que un modelo descargable puede completar una intrusión simulada prolongada en condiciones controladas.

¿Tratarán las organizaciones ese resultado como una historia sensacionalista de Google News o como una razón para probar los permisos de los agentes antes de que llegue el próximo modelo?