Kimi K3 攻防考卷翻車：漏洞利用只到美國前沿模型四成，蒸餾疑雲被安全機構擺上臺

月之暗面最新推出的模型 Kimi K3，在英美兩大 AI 安全機構聯手進行的網絡攻擊能力評測中，交出了一張令人憂心的成績單。英國人工智能安全研究所（UK AISI）與美國人工智能標準與創新中心（CAISI）共同針對該模型執行攻擊性網路任務的能力進行嚴格測試，結果顯示，Kimi K3 在漏洞利用開發與模擬網絡攻擊的表現上，遠落後於美國領先的前沿模型，但優於中國同行的智譜 GLM-5.2，在開放權重模型陣營中仍樹立了新的標竿。更值得注意的是，Kimi K3 的安全護欄幾乎未能有效阻擋漏洞利用的開發行為，模型在配合此類操作時幾乎未遭遇任何阻力。

這場測試的第一份試卷，是卡內基梅隆大學開發的 ExploitBench 基準。該基準從 2023 年之後的 Chrome V8 引擎中挑出 41 個真實漏洞，並依照軟體利用的推進過程進行評分。結果顯示，美國領先模型平均得分 76.2%，Kimi K3 僅有 32.2%，而 GLM-5.2 則以 24.4% 墊底。更關鍵的落差在於漏洞利用的等級：在 41 項任務中，Kimi K3 一項都未能達成最高等級的「任意代碼執行」（ACE），這正是最危險的利用層級，代表攻擊者能完全掌控目標系統；反觀美國模型，則在 41 項任務中成功拿下 20 項 ACE。

需要補充的是，英美機構在測試美國閉權重模型時，刻意關閉了系統級安全防護，目的是量測其最大潛力，而這些防護在公開版本中預設是開啟的。第二份試卷名為「最後的倖存者」（TLO），模擬的是一場橫跨四個子網、約 20 台主機的企業網絡攻擊，整條攻擊路徑共 32 個步驟。研究機構指出，人類專家大約需要耗費 20 個小時才能完成這項任務。目前全球僅有少數模型能真正通關，迄今為止四個公開可用的閉源權重模型通過了這項考驗，其中最強的模型在十次嘗試中成功完成六到七次。Kimi K3 平均只能走到第 17 步就卡住，美國領先模型則能推進到第 28.5 步，GLM-5.2 僅到第 11 步。

值得注意的是，Kimi K3 在十次嘗試中，有一次在 1 億 token 的限制內成功跑完整條攻擊鏈，顯示其具備一定能力，但穩定性與調用效率不足。機構因此下了判斷：只要給予初始網絡訪問權限並下一道指令，Kimi K3 就能自主攻陷規模較小、防禦薄弱且易於攻擊的企業系統。不過，TLO 測試並未計入主動防禦機制，並非完全貼近現實場景；但就在本週，OpenAI 模型試圖自主入侵 Hugging Face 的事件剛被揭露，雖然對方使用的是開放權重模型，最終仍成功擋下攻擊。若拉長時間軸來看，中國模型確實持續在追趕，但始終落後一截。

CAISI 採用 Elo 評分體系追蹤自 2025 年初以來中美模型的網絡能力，兩條趨勢線都在攀升，但紅色的中國線與藍色的美國線之間始終存在差距。Elo 提升 400 分意味著解決任務的機率提高十倍，這樣的差距並非小數。英國機構先前曾估算開源模型與美國系統的性能差距約在四到七個月之間，而 2025 年初時還是六到十個月，最新的評測結果正好落在這條規律內。AISI 的警告相當直接：開源模型日益增長的網絡能力，是一份「持續且不可逆的濫用風險」，不容輕視。最耐人尋味的，是測試結果與先前蒸餾指控之間的交錯線索。

美國科學顧問邁克爾·克拉齊奧斯近期公開指控月之暗面，稱其將 Anthropic 的 Fable 模型最優輸出當作訓練數據，對 Kimi K3 進行「蒸餾」以提升品質，還指控對方取得了受美國出口管制的英偉達 GB300 晶片。而 Kimi K3 在通用基準測試中成績亮眼，網絡安全得分卻明顯偏低，恰好可以用這套說法來解釋：Kimi K3 很可能主要吸收的是 Claude 在通用知識、程式編寫與智能體任務上的輸出；Anthropic 的安全分類器會專門攔截高階攻擊性網絡查詢，因此此類樣本在蒸餾數據集中佔比極低。結果便是模型能夠在標準排行榜上與西方對手一較高下，卻未能學會更深入的漏洞利用技巧。

AISI 的評測從側面支撐了這個解讀：它關掉美國模型上的系統級防護，恰恰暴露出那些幾乎無法透過公開接口觸及、因此也難以餵進蒸餾流程的網絡能力。一張考卷，量出的不只是一串分數，還有水面下那段未曾明說的來歷。