Kimi K3は最先端に迫っているように見えた。だがサイバー試験で、はるかに大きな隔たりが明らかになった

Kimi K3は攻撃的サイバーセキュリティ試験で32.2%を記録した。これは主要な米国モデルの平均76.2%の半分にも満たない。この結果は、新たな主力モデルがクローズドモデルの最先端に迫るというMoonshot AIの広範な主張を複雑にしている。

この差は、英国人工知能安全研究所と米国AI標準・イノベーションセンターによる共同評価で明らかになった。試験では、Kimiが実際に機能するエクスプロイトを構築し、シミュレートされた企業ネットワークを攻略できるかが検証された。

Kimi K3は同じエクスプロイトベンチマークで24.4%を記録したZhipu AIのGLM-5.2を上回った。それでもKimiは、試験対象となった41件の脆弱性のいずれでも任意コード実行を達成できなかった。主要な米国モデルは平均して20件のタスクでこの最終段階に到達した。

この逆転は重要だ。Kimi K3は、コーディング、ビジュアル開発、長大なコンテキストを扱う作業、エージェント型タスクで印象的な成果を示して登場した。Moonshotはこれを、2.8兆パラメータを持ち、AnthropicやOpenAIの製品に迫るオープンウェイトモデルとして提示した。

サイバー評価は、より不均一な姿を示している。Kimiは目に見えやすい複数の製品タスクでは競争力を持つ一方、厳しい多段階の能力試験では大きく遅れをとっているように見える。

Moonshotが開発中に知識蒸留を用いたとの疑惑により、この不均一性は政治的な問題にもなっている。蒸留とは、より強力な別モデルの出力を使ってモデルを訓練する手法だ。米国当局は、蒸留がKimi K3固有の性能プロファイルを生んだことを示す技術的証拠を公には提示していない。

したがって、このベンチマーク上の差はコピーの証拠ではない。しかし、洗練された出力や広範な総合スコアだけで最先端の地位を判断することの限界は浮き彫りにしている。

Kimiのサイバー試験が実際に示したこと

見出しとなる結果は、単にKimiが敗れたということではない。エクスプロイト開発で最も重大な段階に至る前に止まったことだ。

政府による評価では、Carnegie Mellon Universityの研究者が作成した公開ベンチマークであるExploitBenchが使われた。これは、ソフトウェア脆弱性を悪用するために必要な段階をAIエージェントがどこまで進めるかを測定する。

クラッシュを起こしただけでは、完全なエクスプロイトとは見なされない。エージェントは、任意メモリアクセス、制御フローの操作、そして最終的には任意コード実行を含む、より有用性の高い能力を段階的に構築しなければならない。

このベンチマークでは、Chromeで使われるJavaScriptおよびWebAssemblyエンジンであるV8において、2023年以降に開示された41件の脆弱性を使用する。脆弱性は修正済みだが、統制された評価にとって難度が高く、現実的な標的となる。

ExploitBench paperでは、この能力の梯子に沿った16の測定可能なステップが説明されている。決定論的な検証により、エージェントが各段階に本当に到達したかを確認し、もっともらしいが機能しない回答の価値を下げている。

Kimi K3のExploitBench総合スコアは32.2%だった。GLM-5.2は24.4%に達し、主要な米国システムの平均は76.2%だった。

このスコア差は、軽微な中間マイルストーンに限られていない。Kimiが任意コード実行を達成したのは41タスク中ゼロだった。主要なシステムは平均で20タスクに成功した。

任意コード実行により、攻撃者は標的上で選択した命令を実行できる。バグの特定やクラッシュを引き起こす入力の生成より、はるかに深刻な結果を意味する。

評価者はまた、4つのサブネットと約20台のホストからなるシミュレートされた企業ネットワーク、The Last OnesでKimiを試験した。この環境には、人間の専門家なら完了まで約20時間を要する32段階の攻撃パスが含まれている。

Kimiは1億トークンの上限下で平均17段階目まで到達した。主要な米国モデルは28.5段階目、GLM-5.2は11段階目まで進んだ。

Kimiが全範囲を完了したのは10回の試行のうち1回だった。より高性能なクローズドモデルは、過去の試験で6回または7回の試行で完了していた。

この1回の成功は、安易な解釈を許さない。Kimiは実験室条件下でエンドツーエンドの侵入を実行できないわけではない。主な弱点は、繰り返し試行における信頼性と深度だった。

joint cyber assessmentによれば、このシミュレーション環境には能動的な防御者や防御監視がなかった。また、実際のネットワークならアラートを発するような目立つ行動にもペナルティは課されなかった。

試験は初期のネットワークアクセスを得た後に始まり、意図的に用意された攻撃パスを含んでいた。防御された企業内に見られる不確実性、欺瞞、アクセス制御、中断は再現していない。

そうした利点があっても、Kimiは通常、中盤付近で止まった。これは、その攻撃能力が主要なオープンウェイトの同業モデルを上回る一方、試験された最強のクローズドシステムを下回ることを示している。

この評価も選択的なものだった。Kimiのホスティング構成により、研究所は完全なサイバー試験スイートを実行できなかったため、総合的な能力推定はExploitBenchのみに依存した。

その結果、複数のベンチマークで試験されたモデルよりも信頼区間は広くなった。この結果には意味があるが、あらゆるサイバースキルの完全な順位付けではない。

変わったのは証拠の質だ。Kimi K3はすでに強力な公開デモと一般的なベンチマークスコアを示していた。政府試験は、それらの能力が長く容赦ない技術的依存関係の連鎖に耐えられるかを測定した。

多くの場合、耐えられなかった。

Kimi K3のベンチマーク上の差が重要な理由

Kimi K3は、その強みと弱みが正反対の方向を示すため、オープンモデルの支持者と米国の最先端ラボの双方に課題を突きつけている。

Moonshotは2026年7月16日にKimi K3を発表した。同社によれば、このモデルは総計2.8兆のパラメータを持ち、疎なmixture-of-expertsアーキテクチャを採用している。

mixture-of-expertsモデルは、各入力を専門化されたコンポーネントの小さなサブセットに振り分ける。Moonshotによれば、Kimiは896のエキスパートのうち16を活性化し、各トークンに必要な計算量を削減する。

このモデルはネイティブの視覚入力と、最大100万トークンのコンテキストウィンドウもサポートする。Moonshotはこれらの機能を、コーディング、デザイン、研究、持続的なエージェント作業に向けて位置付けた。

Kimi K3 overviewでMoonshotは、このモデルが全体としては最も強力な独自モデルの競合製品にまだ遅れていることを認めている。それでも、複数の評価カテゴリーでKimiを最先端近くに置く結果を報告している。

これらの結果は魅力的な物語を生んだ。中国企業が、主要な米国システムに近いように見える非常に大規模なモデルを構築し、そのウェイトを公開する予定だというものだ。

ExploitBenchは、より厳しい留保を加える。どちらのタスクもコードの読解、ツール利用、失敗した試行の修正を伴うとしても、競争力のあるコーディング性能が競争力のあるエクスプロイト構築を保証するわけではない。

一般的なコーディングベンチマークでは、馴染みのあるリポジトリ内で定義済みのソフトウェアタスクを完了することが評価されがちだ。エクスプロイト開発では、低レベルの推論、実験、メモリ操作、標的プロセスの精密な制御という異なる組み合わせが求められる。

成功した各ステップは、次のステップの前提条件となる。初期段階で微妙な誤りを犯したモデルは、生産性のない経路を探索するために何百万トークンも費やしかねない。

32.2%というスコアは、Kimiがこの連鎖を通じて意味のある進展を遂げられることを示唆する。任意コード実行がゼロだった結果は、その進展が完全な制御に至ることはほとんどないことを示している。

Moonshotにとって、これは総合的な知能スコアが広範な最先端同等性を示すという単純な主張を弱める。企業の購入者は、あるエージェント型カテゴリーでの卓越性が別のカテゴリーにも転移するとは想定できない。

米国の研究所にとって、この結果がもたらす安心は限定的だ。KimiはGLM-5.2を上回り、ネットワーク範囲を一度完了した。オープンウェイトシステムは、近年までクローズドモデルに集中していた能力を獲得しつつある。

オープンウェイトは、能力の広がり方も変える。いったん公開されれば、モデルは改変、ファインチューニング、独自のスキャフォールディングへの統合、あるいは元の提供者のセーフガードなしでの運用が可能になる。

したがって、Kimiがクローズドモデルの最先端に遅れているとしても、予定されるウェイト公開は重要だ。攻撃者は、あらゆる標的に対して利用可能な最強システムを必要とするわけではない。アクセスしやすく、適応可能で、十分な能力を持つシステムを必要としている。

防御側にも同じ機会がある。セキュリティチームはオープンモデルを検査し、統制されたネットワーク内に展開し、機密コードを外部に送信せずに脆弱性研究向けに適応できる。

このベンチマークは、そのデュアルユースの均衡を決着させるものではない。能力がすでに相当な水準にある一方で、その最も高度な形態はなお不均一であることを示している。

開発者は、エージェントハーネスの役割にも注目すべきだ。モデルはテキスト生成だけでソフトウェアを悪用するわけではない。ツール、コマンド実行、フィードバックループ、状態を維持する戦略を通じて作業する。

基礎となるウェイトを変えずに、異なるハーネスがKimiの性能を向上させる可能性がある。逆に、弱いハーネスは強力なモデルを実際より能力が低く見せることがある。

研究所は比較を支えるために標準化された環境を用いたが、標準化されていることは製品中立であることを意味しない。公開コーディングランキングでは、異なるモデルと異なるスキャフォールディングがしばしば組み合わされ、信頼性の低い単純比較を招いている。

これが、Kimiのサイバー試験が一つのリーダーボードを超えて重要である理由だ。これは、表面的な流暢さでは不足する技術的深度を容易に隠せない能力の連鎖を測定している。

この結果は、Kimiのリリースを単純な競争物語から、能力の形状を問う問題へと変えた。このモデルは、ある角度からは最先端に近く見え、別の角度からは遠く見える。

蒸留は出力をコピーできても、すべての能力を移転するとは限らない

知識蒸留は不均一な性能を説明しうるが、入手可能な証拠はその因果関係を立証していない。

蒸留は、より強力なモデルの出力を使って別のモデルを訓練する。生徒モデルは教師のウェイトを受け取らなくても、推論、フォーマット、ツール利用、タスク完了におけるパターンを吸収できる。

この手法は正当なモデル開発で広く用いられている。システムの圧縮、専門的な振る舞いの移転、人間による例が乏しい場合の合成訓練データ生成に利用できる。

論争の焦点は、手法の存在ではなく、許可と規模にある。ホワイトハウス科学技術政策局のディレクターであるMichael Kratsiosは、MoonshotがAnthropicのFableモデルを蒸留したと非難した。

報じられた疑惑によれば、Moonshotは検知を避けるため、アクセス手法を切り替える内部プラットフォームを構築したという。政府はこの主張を裏付けるログ、訓練記録、フォレンジック手法を公には公開していない。

Anthropicは以前、Moonshotや他の中国の研究所がClaudeに対し大規模な蒸留キャンペーンを行ったと非難していた。Moonshotは、Kimi K3の訓練データがどのように組み立てられたかを明らかにする詳細な公開回答を示していない。

ここには二つの別個の問いがある。一つは、無許可の蒸留が発生したかどうかだ。もう一つは、蒸留がKimiのサイバーベンチマーク上の差を説明するかどうかである。

前者は証拠と政策を巡る論争だ。後者は技術的仮説である。

教師モデルの回答で訓練された生徒モデルは、サンプリングされた出力に表れた振る舞いを学習できる。しかし、その転移はプロンプトの網羅性、出力の質、訓練目標、生徒モデル自身のアーキテクチャに左右される。

可視性の高いコーディング作業には、豊富な事例と明確なフィードバックがある。モデルは、大量に生成されたトレースから、インターフェースの構築、リポジトリの編集、ソフトウェアの説明に関する慣例を学習できる。

高度なエクスプロイト開発は、これより捉えにくい。成功例は少なく、運用上センシティブであり、特定の環境との相互作用に依存する。

教師モデルの最終回答には、失敗した実験、内部的な不確実性、中間的な発見が含まれないことがある。そうした隠れた手順には、信頼できる自律的な作業に必要な知識の多くが含まれている可能性がある。

ExploitBenchは、回答スタイルの再現以上も求める。ランダム化された検証では、エージェントが稼働中のターゲットに対して機能するプリミティブを構築する必要がある。記憶された言語だけでは、こうした検証を満たせない。

ここから一貫した仮説が導かれる。蒸留は、深い環境相互作用を要する希少な能力よりも、可視性が高く頻繁にサンプリングされる振る舞いをより速く改善する可能性がある。

その場合、Kimiは一般的なコーディング作業では、主張される教師モデルに近いように見える一方、エクスプロイト開発では大きく遅れている可能性がある。ベンチマークのプロファイルは、この説明と整合する。

ただし、整合性は証明ではない。同じ証拠に当てはまる別の説明もいくつかある。

Moonshotが攻撃的サイバーセキュリティへのポストトレーニングに割く労力を抑えていた可能性がある。エージェント用ハーネスが、長いエクスプロイト連鎖を維持する点で効果が低い可能性もある。評価では関連する拒否の証拠はほとんど見つからなかったものの、安全性トレーニングが特定の振る舞いを選択的に変えている可能性もある。

モデルのスパースなアーキテクチャが、タスクごとに異なる強みを生んでいる可能性もある。長コンテキスト設計は、低レベルのエクスプロイト推論を同じ速度で改善せずとも、調査やソフトウェア探索を支援し得る。

トレーニングデータの構成も別の可能性だ。広範なWeb開発やリポジトリのデータに触れたモデルは、公開コーディング課題で優れる一方、高品質なエクスプロイトのトレースにはあまり接していない可能性がある。

最後に、この比較には名称非公開の米国モデルが含まれる。読者は、それらのアーキテクチャ、トレーニング時期、サイバー分野に特化したポストトレーニング、正確な製品バージョンを検証できない。

Associated Pressの記事は、Kimiが複数の能力でClaudeやChatGPTに近づいていると報じた。この広範な観察は、1つの専門領域における深刻な不足と両立し得る。

責任ある結論は限定的だ。蒸留は、モデルがフロンティア級の振る舞いを不均一に模倣する理由の説明に役立つかもしれないが、この評価は蒸留を検出してはいない。

この評価が測定しているのは、2つの管理されたサイバー環境でKimiが何を達成できたかである。どのトレーニング事例がその能力を生んだのかは明らかにしない。

このスコアを法医学的な証拠として扱えば、ベンチマークを過大評価することになる。不均一な能力プロファイルを無視すれば、その最も価値あるシグナルを無駄にする。

安全性の結果は安心材料ではない

Kimiの能力が低いことは、攻撃的なサイバー支援に対する有効な安全策を意味しなかった。

評価者らによると、Kimiの安全策は、エクスプロイト開発や攻撃的なネットワーク操作を試みるのを止められなかった。モデルは一貫して拒否するのではなく、タスクに取り組んだ。

この詳細により、差の説明となり得る1つの可能性は除外される。Kimiが32.2%にとどまったのは、単に大半の要求を拒否したためではない。

主要な米国モデルは、システムレベルの安全策を無効化してテストされた。この選択により、研究機関は公開製品の支援意欲ではなく、最大限の技術的能力を推定できた。

したがって、この比較は、Kimiの利用可能な振る舞いを、制限を緩めた米国システムの潜在能力と並べたものだ。一般の利用者が公開されている米国のチャット製品から同一の支援を得られることを示しているわけではない。

この区別は両方向に作用する。クローズドな提供者は、サーバー側の安全策を更新し、利用状況を監視し、アカウントを停止し、ツールへのアクセスを制限できる。オープンウェイトの利用者は、モデルをダウンロードした後、多くの行動上の制御を取り除ける。

Kimiの既存の安全策は、すでに評価対象の作業を許可していた。ウェイトが利用可能になれば、派生バージョンでそれらがさらに弱められる可能性がある。

それでもリスクを誇張すべきではない。Kimiは、41件すべてのExploitBenchタスクで任意コード実行を達成できなかった。シミュレートされた企業攻撃を完了できたのは、10回の試行で1回だけだった。

有能な人間のオペレーターは、出力を検証し、失敗した手順を修復し、ターゲットを選び、運用上のセキュリティを管理する必要がある。このモデルは、強固に防御された組織を確実に侵害する自動侵入システムではない。

しかし、信頼性だけが関連する尺度ではない。信頼性の低いアシスタントであっても、偵察、エクスプロイトの適応、スクリプト作成、反復的な試行に必要な労力を減らし得る。

The Last Onesの結果は、具体的なシナリオを示している。小規模で意図的に脆弱にされたネットワークへの初期アクセスが与えられると、Kimiは32の攻撃ステップのうち平均17に到達した。

モデルが行き詰まった際には人間が引き継ぎ、その後、更新された状態を追加作業のために戻すことができる。この混合ワークフローは、完全な自律性を期待するより現実的かもしれない。

モデルのトークン許容量も重要だ。各試行では最大1億トークンを消費でき、長時間の試行錯誤が可能になる。これは典型的な気軽なチャットセッションではない。

Kimiを評価する組織は、次の3つの問いを分けて考えるべきだ。

• モデルは脆弱性を特定または説明できるか？

• 管理された条件下で、機能するエクスプロイトを作成できるか？

• 本番のセキュリティワークフロー内で安全に運用できるか？

政府による評価が主に扱うのは、2番目の問いである。安全な導入、監査可能性、データの取り扱い、不正利用への耐性については、限られた証拠しか示していない。

企業チームは、低いスコアをセキュリティ制御とみなすべきではない。能力上の制約は、ファインチューニング、より良いツール統合、新しいモデルのリリースによって変化し得る。

また、すべての派生デプロイメントで提供者の安全策が維持されると想定することも避けるべきだ。モデルウェイト、エージェントソフトウェア、プロンプト、実行権限は、組み合わさって1つのシステムを構成する。

最も直接的な防御上の教訓は、権限に関するものだ。AIコーディングエージェントには、そのベースモデルがサイバーベンチマークで低い成績だったというだけで、広範な本番アクセスを与えるべきではない。

サンドボックス化、認証情報の分離、ネットワーク制限、人間による承認、詳細なログは、引き続き必要である。こうした制御は、悪意ある利用と偶発的な損害の両方を抑える。

この問題はKimiにとどまらない。ExploitBenchプロジェクトは、テスト対象のシステムではクラッシュの誘発が日常的になっている一方、完全な悪用は依然として非公開フロンティア付近に集中していると報告している。

この境界は動く。より優れたエージェント、より大きなコンテキストウィンドウ、専門的なポストトレーニングは、一貫性のない能力を再現可能なワークフローへと変え得る。

したがってKimiの結果は、恒久的な安全マージンではなく、一時点での測定値を示すものだ。現時点の差は大きいが、タスクに参加しようとする性質が、残る能力を運用上意味のあるものにしている。

数値が証明しないこと

この評価はKimiのフロンティア級という物語に疑問を投げかけるが、モデルの品質、起源、現実世界での危険性について完全な判断を裏付けるものではない。

ExploitBenchが対象とするのは、1つのエンジンにおける1つの脆弱性クラスだ。V8は広く導入されており、悪用も難しいが、すべてのOS、アプリケーションフレームワーク、ネットワークサービスを代表するものではない。

このベンチマークはパッチコミットを提供し、エージェントにエクスプロイト開発を求める。未知の欠陥を独自に発見する能力ではなく、脆弱性が既知となった後の悪用を測定する。

Kimiは、Webアプリケーション、メモリセーフな言語、設定ミス、クラウド権限、ソーシャルエンジニアリングでは異なる性能を示す可能性がある。この評価はそれらの問いには答えていない。

集計比較はモデルの識別情報も隠している。研究機関は、最も強い比較グループを、各製品名を挙げずに、最近の米国フロンティア級クローズドウェイトモデルと説明している。

これはセンシティブな評価情報を保護する一方、外部からの検証を制限する。購入者は正確な比較を再現できず、特定の商用モデルが報告された平均値に一致するかも判断できない。

76.2%という数値は平均であり、普遍的なフロンティア閾値ではない。個々のシステムはそれを上回る場合も下回る場合もある。

Kimiの32.2%というスコアも、16のエクスプロイト段階にまたがる部分的な進捗を含んでいる。脆弱性のおよそ3分の1を解決したという意味に解釈すべきではない。

同様に、任意コード実行の成功がゼロだったことは、有用なサイバー能力がゼロであることを意味しない。このモデルは依然としてクラッシュを再現し、中間的なプリミティブを開発し、ネットワークレンジ内で前進した。

信頼区間にも注意が必要だ。Kimiの全体的なサイバー能力の推定は選択的な評価に基づいている一方、他のモデルではより多くのタスクと領域にわたる結果があった。

将来の完全な評価によって、推定される位置は変わり得る。より優れたハーネスや異なる推論設定も、結果を変える可能性がある。

シミュレートされたネットワークにも別の制約がある。そこにはアクティブな防御者もエンドポイント検知もなく、ノイズの多いコマンドへのペナルティもなかった。

このレンジを完了することは、有利な条件下でのある種の自律能力を証明する。Kimiが現代的な企業を静かに侵害できることを立証するものではない。

逆の推論も同様に危険だ。このレンジで頻繁に失敗することは、カスタマイズされたバージョンや人間が誘導するワークフローによるリスクが小さいことを証明しない。

蒸留をめぐる議論にも同じ規律が必要だ。ベンチマークは特異なプロファイルを明らかにできるが、トレーニングパイプラインを再構築することはできない。

技術的な証拠には、アクセス記録、生成データセット、モデル比較、トレーニング文書、あるいは帰属のために設計された統計的手法が必要になる。それらは公表されたサイバー評価には見当たらない。

政治的背景も不確実性を加える要因だ。Kimiは、中国AI、輸出規制、オープンウェイト、知的財産をめぐる米国での激しい議論の最中に登場した。

政府機関には外国モデルをテストする正当な理由がある。それでも、その結果は地政学的な物語に取り込むのではなく、手法と制約を通じて評価すべきだ。

Moonshot自身のベンチマーク上の主張にも同じ扱いが求められる。企業が選定したテストは実際の強みを浮き彫りにできる一方、重要な弱点を測定しないままにすることもある。

最も妥当な読み方は、両方の証拠を組み合わせることだ。Kimi K3は複数のコーディングおよびエージェント型タスクで高い能力を示す一方、高度なエクスプロイト開発では大幅に弱いように見える。

これは矛盾ではない。汎用モデルの能力は不均一に発達し、ベンチマークの平均値は領域間の大きな差を覆い隠し得る。

開発者にとって、実務的な対応はタスク固有の評価である。高い総合スコアは、本番で使用する正確なリポジトリ、ツール、権限、失敗条件に対するテストの代わりにはならない。

セキュリティチームには、成功だけでなく、持続性、権限昇格の振る舞い、拒否パターン、失敗後の回復可能性も記録する敵対的試験が必要だ。

企業の購入者は、モデルカード、安全性評価、導入時の制御、および各安全策をどのコンポーネントが担うかについての明確な文書を求めるべきだ。

Kimiのサイバースコアは、単一の数値による調達判断への警告として最も有用だ。ローンチ時のデモンストレーションも、1つの安全性ベンチマークも、意思決定全体を担うことはできない理由を示している。

オープンウェイト公開後に注目すべき点

Kimiのサイバー能力の差が構造的に残るのか、エンジニアリングで縮まるのか、あるいはカスタマイズによってより危険になるのかを決めるのは、3つのシグナルだ。

最初のシグナルは、Moonshotがウェイトを公開した後の独立した再現である。研究者は、文書化されたハードウェア、推論設定、プロンプト、エージェントの足場の下でExploitBenchを再実行すべきだ。

独立した結果が32.2%付近にとどまれば、評価の中心的な発見はより強まる。Kimiは他の強みにもかかわらず、エクスプロイト開発ではクローズドなフロンティアから明確に遅れているように見える。

より優れたハーネスによって性能が大幅に向上するなら、解釈は変わる。当初の結果は、モデル能力と同程度にシステム統合の影響を反映していたことになる。

二つ目のシグナルは、Moonshotの技術レポートと安全性に関する文書だ。同社はKimi K3のアーキテクチャ、学習、評価について、より詳しい情報を提供すると約束している。

有用な開示には、サイバー分野のポストトレーニング、セーフガード設計、データガバナンス、Moonshotが公表したベンチマークスコアの評価条件に関する説明が含まれるだろう。また、ダウンロード可能なモデルがホスト型サービスと一致するかどうかも明らかになるはずだ。

こうした詳細だけで、蒸留疑惑が独自に決着するわけではない。それでも、モデルがどのように構築され、その能力がどこから来たのかを巡る不確実性を狭めることはできる。

詳細な安全性評価は、オープンウェイトが生むリスクをMoonshotが理解しているという同社の主張を補強する。開示が限定的であれば、企業は外部テストに依存せざるを得ない。

三つ目のシグナルは、リリース後の専門的なファインチューニングだ。セキュリティ研究者やモデルホストは、コーディング、脆弱性分析、自律的なツール利用に向けてKimiを適応させる可能性が高い。

一般的なチャット品質が多少改善しても、本稿の結論は変わらない。任意コード実行やネットワークレンジでの信頼性が大きく向上すれば、話は別だ。

その結果は、Kimiの現時点での弱点が深い能力上の限界ではなく、ポストトレーニングやスキャフォールディングに起因していたことを示すだろう。また、防御側が備えるために使える時間も短縮する。

企業が最も安全に置くべき前提は、今日のスコアが固定されたままではないということだ。モデルは、新たなチェックポイント、より長い推論、改善されたツール、コミュニティによる改変を通じて変化する。

開発者は、ローンチ週のランキングに頼るのではなく、再現可能な能力評価を追跡すべきだ。セキュリティ責任者は、権限とツールチェーンを含め、実際にデプロイされたエージェント全体をテストすべきである。

Kimi K3は、先進的なサイバー能力における米国の優位を覆すものではない。同時に、持続的な安全の余地を提供するものでもない。

その32.2%というExploitBenchの結果は、より強い一般ベンチマークの陰に隠れた大きな隔たりを明らかにしている。ネットワークレンジでの試行に成功したことは、低いスコアにも実務上のリスクが伴うことを示している。

次の問いは、Kimiが一つのベンチマークで勝ったか負けたかではない。オープンウェイトの開発者が、防御側が適応するより速く、部分的で一貫性のないサイバー技能を信頼できる能力へと転換できるかどうかだ。