Kimi K3 completa un attacco di rete simulato

Kimi K3 ha completato una volta, in 10 tentativi, un attacco di rete simulato in 32 passaggi, trasformando un titolo d'impatto su Google News in una questione di sicurezza più complessa.

Il modello open-weight non ha dominato la valutazione. Ha raggiunto in media il passaggio 17, contro i 28,5 dei più capaci modelli statunitensi. Inoltre, ha completato zero dei 41 compiti che richiedevano l'esecuzione arbitraria di codice, ossia la capacità di assumere il controllo di un sistema bersaglio.

Eppure, il tentativo riuscito resta rilevante. Moonshot AI ha rilasciato i pesi di Kimi K3 dopo che i valutatori governativi hanno dimostrato che poteva attraversare autonomamente una rete aziendale deliberatamente vulnerabile. Il risultato colloca accesso aperto e controlli di sicurezza attuabili ai lati opposti dello stesso avanzamento tecnico.

I principali modelli chiusi svolgono già questi compiti con maggiore affidabilità. La distribuzione open-weight modifica il rischio perché operatori esterni possono scaricare, modificare, perfezionare e distribuire il modello sottostante senza che il suo sviluppatore controlli ogni interazione.

Il titolo non è quindi né “Kimi K3 supera i modelli statunitensi” né “Kimi K3 ha fallito un test informatico”. Lo sviluppo importante è che un modello scaricabile ha superato una soglia operativa, pur restando molto indietro rispetto alla frontiera dei modelli chiusi.

Cosa ha effettivamente rilevato la valutazione informatica di Kimi K3

Kimi K3 ha completato il range una volta, ma la sua prestazione media è rimasta ben al di sotto dei leader tra i modelli chiusi.

L'AI Security Institute del Regno Unito e il Center for AI Standards and Innovation degli Stati Uniti hanno pubblicato la loro valutazione informatica congiunta il 23 luglio 2026. Hanno descritto il lavoro come una valutazione preliminare basata su una piccola raccolta di benchmark pubblici e privati.

La valutazione copriva due capacità correlate. Lo sviluppo di exploit misurava se il modello fosse in grado di trasformare una vulnerabilità software in un attacco funzionante. Un cyber range misurava invece se potesse mantenere pianificazione e azione attraverso una rete aziendale simulata.

Quel cyber range, chiamato “The Last Ones”, contiene 32 passaggi sequenziali. Si estende su quattro subnet e circa 20 host. I valutatori hanno stimato che un esperto umano avrebbe impiegato approssimativamente 20 ore per completarlo.

Kimi K3 ha ricevuto accesso iniziale alla rete e istruzioni per attaccare l'ambiente. Doveva quindi individuare gli host, identificare le debolezze, muoversi nella rete e proseguire lungo un percorso d'attacco intenzionalmente costruito.

In 10 tentativi, il modello ha raggiunto in media il passaggio 17. I principali modelli statunitensi capaci in ambito informatico hanno raggiunto una media di 28,5 passaggi nel confronto dei valutatori.

Kimi K3 ha completato tutti i 32 passaggi durante un tentativo. Quel tentativo riuscito si è verificato entro un limite di 100 milioni di token, che ha dato all'agente ampio spazio per ragionamenti estesi, uso di strumenti e azioni ripetute.

I principali modelli chiusi sono stati considerevolmente più coerenti. Modelli testati in precedenza hanno completato il range in sei o sette tentativi su 10. L'unico tentativo riuscito di Kimi K3 dimostra dunque capacità, non affidabilità.

La distinzione è essenziale. Un singolo completamento dimostra che il modello può mettere insieme i comportamenti necessari in condizioni favorevoli. I nove tentativi incompleti mostrano che non può ancora riprodurre tale comportamento in modo affidabile.

Kimi K3 ha inoltre superato GLM-5.2, che i valutatori hanno identificato come il più forte modello informatico open-weight disponibile a giugno 2026. Kimi ha raggiunto in media il passaggio 17, mentre GLM-5.2 ha ottenuto una media di 11.

Su ExploitBench, Kimi K3 ha ottenuto il 32 per cento, contro il 24 per cento di GLM-5.2. ExploitBench chiede ai modelli di sviluppare exploit end-to-end a partire da vulnerabilità fornite.

Il risultato è stato più debole al livello dalle conseguenze maggiori. Kimi K3 ha ottenuto l'esecuzione arbitraria di codice in zero dei 41 campioni. I modelli di confronto più capaci hanno ottenuto in media 20 campioni riusciti su 41.

L'esecuzione arbitraria di codice permetterebbe a un attaccante di eseguire comandi scelti su un bersaglio compromesso. Il fallimento in questa fase indica che Kimi K3 ha spesso individuato componenti parziali dell'attacco, ma ha faticato a concludere una catena di exploit completa.

I risultati pubblici supportano quindi due conclusioni contemporaneamente. Kimi K3 è ampiamente indietro rispetto alla frontiera chiusa e stabilisce un nuovo punto massimo tra i modelli open-weight valutati.

Questa combinazione ha creato la tensione alla base della copertura di Google News. Il completamento è reale nell'ambito del benchmark, ma non può essere separato dalla minore prestazione media del modello o dalle condizioni artificiali del range.

Perché i pesi aperti cambiano il calcolo della sicurezza

Il rischio centrale non è che Kimi K3 guidi la frontiera informatica, ma che le sue capacità possano circolare senza che Moonshot controlli la distribuzione.

Un rilascio open-weight fornisce i parametri numerici appresi usati per generare gli output del modello. Questo accesso consente a operatori indipendenti di ospitare il modello, ispezionare parti del suo comportamento e adattarlo a compiti specializzati.

I pesi aperti non coincidono con il completo open source. I dati di addestramento, il codice di sviluppo e l'intero processo di addestramento possono rimanere indisponibili. Tuttavia, l'accesso ai pesi trasferisce comunque molto più controllo rispetto a un normale chatbot ospitato o a un'interfaccia di programmazione delle applicazioni.

Moonshot descrive Kimi K3 come un modello mixture-of-experts da 2,8 trilioni di parametri. Un'architettura mixture-of-experts indirizza ogni input attraverso componenti selezionati del modello, invece di attivare simultaneamente ogni parametro.

Secondo il documento tecnico del modello, Kimi K3 attiva 104 miliardi di parametri e 16 dei suoi 896 esperti instradati per ogni token. Supporta inoltre la visione nativa e una finestra di contesto da un milione di token.

Moonshot afferma che la sua architettura offre un'efficienza di scalabilità approssimativamente 2,5 volte migliore rispetto a Kimi K2. L'azienda attribuisce il miglioramento a nuovi meccanismi di attenzione, a una progettazione sparsa degli esperti e a metodi di addestramento rivisti.

Queste specifiche aiutano a spiegare la capacità del modello di sostenere compiti lunghi. Una simulazione di intrusione in rete richiede più che rispondere a domande isolate. L'agente deve mantenere gli obiettivi, interpretare il feedback degli strumenti, aggiornare la propria strategia ed eseguire molte azioni dipendenti.

Le stesse qualità agentiche supportano attività legittime. Gli sviluppatori possono usarle per la manutenzione del codice, l'analisi delle vulnerabilità, l'indagine sugli incidenti e i test difensivi. I ricercatori possono riprodurre i risultati senza inviare materiale sensibile a un fornitore ospitato.

La distribuzione aperta può anche migliorare la privacy e il controllo operativo. Un'organizzazione può mantenere prompt, codice sorgente e log nell'infrastruttura scelta. Può ispezionare il software circostante e decidere quando il modello riceve accesso agli strumenti.

Tuttavia, le salvaguardie a livello di fornitore diventano più difficili da applicare dopo che i pesi lasciano lo sviluppatore. Un fornitore ospitato può monitorare le richieste, sospendere gli account abusivi, aggiornare i classificatori, limitare gli strumenti e modificare i prompt di sistema.

Un operatore indipendente può rimuovere questi livelli. Anche il comportamento di rifiuto incorporato nel modello può essere indebolito tramite fine-tuning o altre modifiche.

L'analisi più ampia dell'istituto britannico sui modelli open-weight afferma che i controlli di distribuzione non possono essere applicati universalmente una volta che i pesi diventano pubblici. Avverte inoltre che l'addestramento al rifiuto può essere reversibile quando gli operatori possiedono il modello.

Questo rende Kimi K3 diverso da un modello chiuso con prestazioni informatiche più forti. Un fornitore chiuso può collocare controlli tra il modello e l'utente, anche se tali controlli rimangono imperfetti.

La valutazione di Kimi ha rilevato che le sue salvaguardie non hanno impedito tentativi di sviluppo di exploit o operazioni offensive. Tuttavia, il confronto richiede cautela perché i valutatori hanno disabilitato le salvaguardie a livello di sistema sui modelli chiusi statunitensi per misurarne le capacità massime.

Le versioni pubbliche di quei sistemi chiusi includono normalmente controlli aggiuntivi. Il test confronta quindi più direttamente la capacità sottostante, ma non rappresenta l'esperienza di un normale utente pubblico.

Il rischio open-weight si colloca all'intersezione tra capacità, accesso e controllo. Kimi K3 è meno capace dei principali modelli chiusi, ma un operatore determinato ha maggiore libertà di modificarne la distribuzione.

Ecco perché la simulazione completata merita attenzione oltre un risultato accattivante su Google News. Segna un progresso in una categoria in cui la sicurezza non può dipendere interamente dal fatto che il fornitore originale mantenga il controllo.

Google News ha colto il successo, non i limiti del benchmark

L'attacco simulato è stato progettato per misurare la capacità su orizzonti lunghi, non per riprodurre l'incertezza di un'impresa difesa.

“The Last Ones” contiene una sequenza intenzionale di sistemi vulnerabili. Inizia dopo l'accesso iniziale alla rete, quindi il modello non deve risolvere ogni problema necessario per raggiungere un vero ambiente aziendale.

Il range non ha difensori attivi. Manca di strumenti difensivi che isolerebbero le macchine, bloccherebbero il traffico sospetto, ruoterebbero le credenziali o interromperebbero un attaccante dopo un avviso.

Inoltre, non impone alcuna penalità per comportamenti rumorosi. In una rete reale, scansioni ripetute, accessi falliti, esecuzione insolita di comandi e movimenti laterali possono generare avvisi molto prima che un attaccante raggiunga l'obiettivo finale.

Queste condizioni non invalidano il risultato. I benchmark controllati rimuovono variabili esterne affinché i valutatori possano confrontare i modelli sullo stesso compito. Sono strumenti diagnostici, non previsioni di prestazioni garantite nel mondo reale.

Il tasso di completamento di uno su 10 introduce un'altra limitazione. Un operatore malevolo non può presumere che Kimi K3 completerà un attacco comparabile su richiesta. I tentativi falliti possono consumare tempo, token, infrastruttura e opportunità, esponendo al contempo l'operazione.

Anche il limite di 100 milioni di token è rilevante. Offre all'agente spazio per sperimentazione e recupero estesi. Un modello che riesce dopo prove ed errori prolungati presenta una minaccia diversa da uno che agisce rapidamente e con coerenza.

Ciononostante, un'automazione inaffidabile può avere valore pratico per un attaccante. Il software può essere rieseguito, parallelizzato o assegnato a molti bersagli. Un basso tasso di successo individuale diventa più significativo quando diminuisce il costo dei tentativi aggiuntivi.

I risultati sugli exploit mostrano dove rimane il limite attuale. Kimi K3 poteva svolgere parti dei flussi di lavoro offensivi, ma non ha completato nessuno dei 41 campioni di esecuzione arbitraria di codice.

Il documento di Moonshot identifica ricorrenti debolezze nel lavoro avanzato sugli exploit. Il modello può rimanere intrappolato in debug improduttivo, scegliere strategie inadeguate in presenza di mitigazioni o non riuscire a verificare un risultato finale.

Si tratta di carenze sostanziali. Influiscono sulla possibilità che una conoscenza tecnica parziale si trasformi in un'intrusione funzionante anziché in una raccolta incompleta di comandi e osservazioni.

La valutazione non stabilisce nemmeno che Kimi K3 abbia scoperto vulnerabilità precedentemente sconosciute durante il range di rete. Ha testato le prestazioni in un ambiente costruito da esperti e contenente debolezze previste.

Né il risultato dimostra che il modello abbia selezionato autonomamente un bersaglio reale. I valutatori hanno fornito un obiettivo, l'accesso iniziale, un ambiente controllato e strumenti. L'agente ha operato all'interno di questa configurazione.

I titoli tendono a ridurre queste condizioni a un esito binario. “Completa un attacco di rete simulato” è accurato, ma incompleto senza il tasso di uno su 10 e la media più debole del modello.

Anche il riepilogo opposto sarebbe fuorviante. Definire la valutazione un fallimento perché Kimi era indietro rispetto ai sistemi statunitensi trascurerebbe il suo vantaggio su GLM-5.2 e la sua riuscita autonoma.

La lettura più corretta considera il benchmark come un segnale di allarme precoce. Mostra che i modelli aperti stanno acquisendo catene operative più lunghe, ma anche quanto la loro affidabilità resti distante dalla frontiera.

I lettori di Google News dovrebbero quindi distinguere tre affermazioni. Kimi K3 ha completato il percorso una volta. Non ha eguagliato i principali modelli chiusi. Il risultato non ha dimostrato attacchi affidabili contro imprese reali dotate di difese.

La vera sfida è tra capacità e contenimento

Man mano che i modelli aperti si avvicinano alla frontiera chiusa, la domanda passa da chi ottiene il punteggio più alto a quali protezioni restano applicabili.

Moonshot ha rilasciato Kimi K3 il 16 luglio e in seguito ne ha pubblicato tutti i pesi. L'azienda ha posizionato il sistema per coding, ragionamento, lavoro basato sulla conoscenza e compiti agentici di lunga durata.

Le sue prestazioni in ambito cyber sono un effetto collaterale di queste capacità generali. I modelli addestrati a navigare repository, eseguire il debug di programmi, usare terminali e completare piani estesi possono applicare competenze simili al lavoro di sicurezza.

Questa sovrapposizione rende le capacità cyber a duplice uso. Un difensore deve comprendere le vulnerabilità, riprodurre gli attacchi, ispezionare il codice malevolo e verificare se una patch funziona. Un attaccante beneficia di molte delle stesse competenze tecniche.

Bloccare ogni richiesta relativa alla sicurezza ridurrebbe il valore degli usi legittimi. Consentire ogni richiesta creerebbe evidenti rischi di abuso. I fornitori si affidano quindi a policy sensibili al contesto, monitoraggio, controlli sugli account e limiti all'accesso agli strumenti.

I pesi aperti indeboliscono la capacità del fornitore di far rispettare questo equilibrio. Un operatore può distribuire il modello senza controlli di identità né log centralizzati. Può inoltre affiancarlo a strumenti e automazioni personalizzati.

Ciò non significa che ogni distribuzione con pesi aperti sia pericolosa. Alla maggior parte degli utenti mancano l'infrastruttura, l'accesso, le competenze o l'intenzione necessari per operazioni di intrusione significative.

L'esecuzione di un modello da 2,8 trilioni di parametri richiede inoltre notevoli risorse di calcolo. La disponibilità dei pesi non rende Kimi K3 un'applicazione consumer che chiunque possa usare in modo efficiente su un laptop.

I fornitori di infrastruttura possono comunque applicare controlli. Host cloud, aziende di model serving, piattaforme di codice e operatori di rete possono rilevare abusi o limitare determinate distribuzioni. Le organizzazioni possono anche vincolare gli agenti attraverso sandboxing e accesso con privilegi minimi.

Tuttavia, questi controlli sono frammentati. Non offrono il punto di applicazione centralizzato disponibile quando lo sviluppatore del modello gestisce l'unica interfaccia.

Anche il fronte dei modelli chiusi presenta debolezze. Le protezioni del fornitore possono fallire e utenti determinati possono trovare modi per aggirarle. Un fornitore può anche modificare le regole di accesso, raccogliere log sensibili o interrompere un servizio da cui i clienti dipendono.

I modelli aperti offrono ispezionabilità, portabilità e controllo locale. Possono ridurre la dipendenza da un singolo fornitore e sostenere ricerche che le interfacce chiuse non possono accogliere.

Questo rende la questione della sicurezza un compromesso, non un referendum sull'apertura. La sfida rilevante è individuare controlli che resistano alla distribuzione indipendente senza eliminare l'accesso legittimo.

I possibili controlli includono dati di addestramento più sicuri, vincoli comportamentali più difficili da rimuovere, calendari di rilascio controllati, valutazioni indipendenti e restrizioni sulle combinazioni di strumenti ad alto rischio.

Nessuno offre una risposta completa. Le protezioni comportamentali possono essere modificate. Le valutazioni possono non rilevare capacità nascoste. Le restrizioni al rilascio possono concentrare il controllo senza riuscire a impedire una successiva proliferazione.

I dettagli del lancio di Kimi K3 illustrano perché la pressione continuerà. Moonshot ha costruito il modello per l'esecuzione di lungo periodo e lo ha rilasciato per prodotti consumer, di coding, enterprise e API.

Il suo contesto da un milione di token e l'addestramento agentico sono commercialmente utili. Le stesse proprietà aiutano un modello a rimanere operativo lungo un percorso di attacco esteso.

I fornitori chiusi come Anthropic e OpenAI affrontano pressioni da entrambe le direzioni. Devono migliorare la sicurezza mentre competono con sistemi scaricabili che i clienti possono adattare e ospitare altrove.

Gli altri sviluppatori di modelli aperti affrontano una richiesta diversa. Devono spiegare quali valutazioni sono avvenute prima del rilascio e quali controlli restano significativi dopo la distribuzione.

Kimi K3 non risolve questa competizione. Sposta il confine dei pesi aperti abbastanza lontano da rendere le valutazioni cyber un requisito standard di rilascio, anziché un test esterno occasionale.

Cosa dovrebbero imparare i team di sicurezza da Kimi K3

Le organizzazioni dovrebbero trattare gli agenti AI come identità operative con autorizzazioni vincolate, non come interfacce di chat che producono semplicemente testo.

Il benchmark è iniziato dopo che il modello aveva ottenuto accesso all'ambiente bersaglio. Questo dettaglio riflette il rischio aziendale più importante: un agente diventa pericoloso quando può collegare il ragionamento a credenziali, terminali, repository e strumenti di rete.

Le organizzazioni dovrebbero anzitutto fare un inventario di dove gli agenti AI possono agire. La mappa rilevante include accesso alla shell, console cloud, sistemi di controllo del codice sorgente, piattaforme di ticketing, strumenti di amministrazione remota e segreti archiviati in prompt o file.

Le autorizzazioni dovrebbero corrispondere al compito più ristretto possibile. Un assistente di coding raramente necessita di credenziali di produzione senza limitazioni. Un agente di test della sicurezza raramente necessita di accesso continuo a ogni subnet.

Le credenziali a breve durata riducono il valore degli accessi rubati o utilizzati impropriamente. I controlli di approvazione possono interrompere azioni ad alto impatto, come modificare policy di identità, regole firewall o eseguire codice su sistemi di produzione.

Anche la segmentazione di rete limita la capacità di un agente di spostarsi lateralmente. The Last Ones richiedeva progressi attraverso quattro subnet, rendendo il movimento tra sistemi parte della capacità misurata.

I difensori dovrebbero registrare sia le interazioni con il modello sia la conseguente attività degli strumenti. I soli registri dei prompt non mostreranno se un agente ha eseguito una scansione di rete, aperto una sessione remota o modificato un servizio.

L'attività degli strumenti fornisce inoltre segnali di rilevamento più solidi. I sistemi di sicurezza possono segnalare sequenze di comandi anomale, ripetuti fallimenti di autenticazione, creazione insolita di processi o accessi esterni all'ambito assegnato a un agente.

Le organizzazioni che valutano pesi aperti necessitano di controlli aggiuntivi attorno all'ambiente di serving. Dovrebbero verificare la provenienza del modello, proteggere i file dei pesi, limitare le pipeline di fine-tuning e monitorare le modifiche ai prompt di sistema e alle definizioni degli strumenti.

Un modello interno non garantisce automaticamente la privacy. I prompt possono comparire in log, sistemi di osservabilità, cache o plugin di terze parti. La distribuzione locale aiuta solo quando viene governato l'intero percorso dei dati.

I team di sicurezza dovrebbero inoltre testare i propri controlli contro comportamenti agentici ripetuti. Un modello può fallire nove volte e riuscire alla decima. Le valutazioni tradizionali che registrano un solo tentativo possono sottostimare questa persistenza.

Tassi di superamento e di completamento dovrebbero quindi accompagnare qualsiasi risultato da prima pagina. I team devono sapere con quale frequenza un modello riesce, quanta capacità di calcolo consuma e quali controlli ne rilevano i tentativi.

Secondo la sua descrizione del programma, il CAISI statunitense ha il mandato di valutare capacità AI che possono influire sulla sicurezza nazionale. I test congiunti con l'istituto britannico offrono una base utile per misurazioni coerenti.

Tuttavia, le imprese non dovrebbero attendere che i benchmark governativi coprano i loro ambienti specifici. I test interni possono modellare gli strumenti, le autorizzazioni, i sistemi di identità e il monitoraggio già presenti in un'azienda.

Gli usi difensivi meritano pari attenzione. Lo stesso agente può contribuire a riprodurre vulnerabilità, testare la segmentazione, esaminare script sospetti e investigare gli avvisi sotto supervisione umana.

I team dovrebbero definire esplicitamente tale supervisione. Una persona che non può ispezionare le azioni intermedie dell'agente offre poca protezione nella fase di approvazione finale.

La lezione pratica non è vietare Kimi K3 o i modelli aperti. È presumere che agenti capaci diventeranno disponibili attraverso molti canali di distribuzione, quindi progettare controlli attorno a ciò che questi agenti possono raggiungere.

Tre segnali che definiranno cosa accadrà dopo

La fase successiva dipende dalla riproducibilità, dalle modifiche post-rilascio e dal fatto che le difese reali fermino il comportamento osservato nel range.

Il primo segnale è la replica indipendente dopo il rilascio completo dei pesi. I ricercatori devono testare lo stesso modello attraverso diversi stack di serving, harness agentici, prompt e budget di token.

Un risultato di benchmark può dipendere in parte dall'harness circostante, che fornisce strumenti al modello e ne gestisce il ciclo di interazione. La replica mostrerebbe se il completamento riflette una capacità stabile del modello o una configurazione ristretta.

Tassi di completamento più elevati rafforzerebbero la preoccupazione che gli agenti cyber a pesi aperti stiano riducendo il divario operativo. Risultati costantemente inferiori indebolirebbero le affermazioni tratte dall'unica esecuzione riuscita.

I ricercatori dovrebbero riportare la distribuzione completa dei risultati. Passaggi medi, completamenti riusciti, uso di calcolo, strategie fallite ed eventi di rilevamento rivelano più di un singolo punteggio in classifica.

Il secondo segnale è ciò che avviene dopo che sviluppatori esterni modificano Kimi K3. I pesi aperti consentono fine-tuning specializzati, comportamenti di rifiuto alterati, nuove integrazioni di strumenti e diverse impostazioni di inferenza.

Un tuning incentrato sulla sicurezza potrebbe migliorare l'analisi difensiva. Un tuning offensivo potrebbe aumentare i tassi di completamento degli exploit o rimuovere protezioni sopravvissute al processo di addestramento originale.

Questo segnale sarà difficile da misurare perché le distribuzioni personalizzate potrebbero rimanere private. Ricerca pubblicata, derivati del modello e segnalazioni di incidenti offriranno prove parziali.

Un miglioramento significativo ottenuto con un fine-tuning modesto rafforzerebbe l'argomento secondo cui le valutazioni del modello base sottostimano il rischio a valle. Un miglioramento limitato suggerirebbe che limiti più profondi nelle capacità restano difficili da superare.

Il terzo segnale è la prestazione contro difese attive. I futuri range dovrebbero includere monitoraggio, protezione degli endpoint, rotazione delle credenziali, sistemi ingannevoli e difensori che rispondono ad attività sospette.

L'esecuzione riuscita di Kimi K3 è avvenuta senza questi ostacoli. Un modello che completa un percorso statico può fallire quando l'ambiente cambia dopo ogni azione rilevabile.

Il successo contro difese reattive rappresenterebbe una soglia più seria. Il fallimento confermerebbe che gli agenti attuali restano fragili quando il mondo non attende il loro passo successivo.

Queste osservazioni contano più di un altro titolo virale su Google News. La domanda centrale è se il raro successo di laboratorio di un modello aperto diventi ripetibile, adattabile e difficile da contenere.

Per gli sviluppatori, l'azione immediata è pretendere un contesto di valutazione completo prima di scegliere un agente. Per gli acquirenti enterprise, è collegare l'approvvigionamento dei modelli ai controlli di identità, logging e rete.

Per i team di sicurezza, la sfida è concreta: testare cosa accade quando un agente AI riceve lo stesso accesso di un operatore umano. Poi rimuovere ogni autorizzazione che il compito non richiede.

Kimi K3 non ha superato la frontiera chiusa e non ha conquistato un'azienda difesa. Ha però mostrato che un modello scaricabile può completare una lunga intrusione simulata in condizioni controllate.

Le organizzazioni tratteranno questo risultato come una storia sensazionalistica di Google News, o come un motivo per testare le autorizzazioni degli agenti prima dell'arrivo del prossimo modello?