ハッキング性能は低下、モデルはなお強力
北京のスタートアップ企業Moonshot AIは、2026年11月4日までに予定しているモデルファイルの公開を前に、Kimi K3.1 Proの攻撃的なハッキング能力を抑えたと発表した。変更により、社内のソフトウェア悪用テストのスコアは90.5％から81.0％に低下したが、それでも前モデルの33.3％を大きく上回った。
目次
Moonshotは10月23日にK3.1 Proを公開し、翌24日に制限措置の概要を説明した。特定のサイバー技能を学習させるためのデータを取り除く一方、ソフトウェアの開発や修復に役立つ一般的なプログラミング能力は維持する方針だ。
今回の発表は、中国商務省と科学技術省が新たな技術輸出規制を提案してから8日後に行われた。提案では、AIを使って悪意あるコードを生成・改変する技術の輸出を禁止する一方、AIを使ってソフトウェアの脆弱性を発見する技術の輸出を制限する。
Moonshotの発表は、広くダウンロードできるモデルにどの程度のハッキング能力を持たせるべきか、また、ソフトウェアの防御側と攻撃側の双方に役立つ技術を政府がどう規制すべきかという2つの問題を結び付けている。
公開にあたって意図する境界について、Moonshotは次のように述べた。
サイバー能力の絶対的な最先端をさらに押し広げるオープンウェイトは公開しないことを目指している
同社のウェイトは、モデルが学習した内容を含むファイルだ。公開すれば、外部の開発者は自分のコンピューター上でシステムを実行し、改変できる。ユーザーの裁量が広がる一方、コピーが拡散した後は、Moonshotがアクセスを管理したり、安全策を変更したりする力が弱まる。
Moonshotが取り除いたもの
Moonshotによると、サイバー関連データは2つの経路からモデルの開発に取り込まれていた。中間段階の学習で使われた一般的な学習データと、強化学習環境に含まれていたサイバー関連タスクだ。強化学習とは、タスクに繰り返し取り組ませ、性能に関するフィードバックを与えてモデルを向上させる手法だ。
同社は一般的なコーディング作業を残しつつ、両方の段階からサイバー関連データを取り除いた。xdev-bench-hardと呼ぶ社内テストでは、最近公表されたソフトウェアの脆弱性を再現し、それを悪用する方法を開発できるかを測定する。3回以内に成功すれば成功として数える。
このテストには、Linuxカーネル、Node.js、JavaScriptCoreなどのソフトウェアにある脆弱性が含まれる。これらは、OSやサーバーアプリケーション、JavaScriptコードの実行に使われる構成要素だ。エクスプロイトとは、ソフトウェアの弱点を利用して、不正アクセスやプログラムを意図しない動作に導くなどの行為を実現する手法を指す。
フィルタリング後、K3.1 Proのスコアは90.5％から81.0％へと9.5ポイント低下した。同じ社内比較ではDeepSeek V4.1-Flashが85.7％を記録し、フィルタリング後のKimiは競合モデルを下回った。
前モデルのKimi K3は33.3％だった。したがって、後継モデルは対象を絞った能力削減の後も47.7ポイントの差を保っており、こうしたタスクへの対応力がどれほど進歩したかを示している。
一般的なコーディング能力がハッキングにも役立つ理由
Moonshotは、サイバー分野で能力が残っている理由の一つに、長い作業工程における一般的なプログラミングとデバッグの能力向上を挙げる。コードを調べ、複数のファイルをたどって不具合を追跡し、修正案を試せるモデルは、同じ能力を弱点の発見や悪用にも応用できる。
同社は公開ブログで、この関係を次のように説明した。
対象を絞ったデータ削除を行った後も、前モデルから大幅に向上している。一般的なコーディング能力と長期にわたるデバッグ能力の向上が、サイバータスクにも応用されることを示している
ソフトウェアの防御側は、あまり注目されていない古いシステムの調査にこうした能力を活用できる。Moonshotはこれをオープンウェイトの利点として挙げた。組織はモデルをローカル環境で実行し、自ら保守を担うソフトウェアを調べられる。
攻撃側も同様の能力を使い、弱点を探したり、侵入の一部を自動化したりできる。したがって実務上の問題は、モデルが明示的に悪意ある事例を学習したかどうかにとどまらない。有用なコーディング能力が攻撃的な作業に転用される可能性がある。
Moonshotのxdev-bench-hardテストは公開されておらず、結果も独立した検証を受けていない。また、公開前に取り除かれた能力が、外部の開発者による追加学習で回復する可能性についても、同社は説明していない。ファイルをユーザーが改変できるモデルの能力を評価するうえで、これらは重要な論点だ。
政府機関によるKimi K3のテスト結果
英国AIセキュリティ研究所と米国AI標準・イノベーションセンターは、2026年7月16日に公開され、オープンウェイト版が7月27日に公開予定だったKimi K3を以前に評価した。両機関による共同のサイバー能力評価は、前モデルを測る独立した参考資料となる。
K3はExploitBenchで32％を記録し、GLM-5.2の24％を上回った。カーネギーメロン大学が開発したこのベンチマークは、ChromeでJavaScriptとWebAssemblyを動かすソフトウェアエンジンV8にある41件の脆弱性を悪用する能力の進展を測る。
K3は41件のサンプルのいずれでも任意のコードを実行できなかった。最先端モデルは平均20件でそれを達成した。任意コード実行とは、攻撃者が選んだコマンドを標的のシステムに実行させることだ。攻撃者にシステムの制御を与え得るため、特に深刻な結果となる。
両機関は、約20台のコンピューターが4つのネットワーク区画にまたがる、企業ネットワークを模した「The Last Ones」でもK3をテストした。この演習には32段階の攻撃手順があり、人間の専門家が完了するには約20時間かかる。
1億トークンの上限のもとで、K3は平均して17段階目まで進んだ。GLM-5.2は11段階、米国の最先端モデルは28.5段階だった。K3は10回の試行のうち1回、演習全体を完了した。最も能力の高いモデルは10回中6回または7回、完了した。
テストの限界をどう見るか
英国と米国の研究機関によると、評価中のK3の安全策は、エクスプロイトの開発や攻撃的なサイバー活動への取り組みを認めていた。調査結果では、K3はそれ以前のオープンウェイト型最先端モデルを上回った一方、両機関がテストした最も強力なモデルには及ばなかった。
「The Last Ones」はネットワークへの初期アクセスがある状態から始まった。意図的に用意された攻撃経路があり、防御担当者や防御ツールは稼働しておらず、セキュリティ警報を引き起こす行動にもペナルティはなかった。こうした条件は、モデルが攻撃を進めるための構造化された環境を与えていた。
両機関は、評価は予備的かつ選択的なものだと説明した。K3の総合的な能力の推定は1つのベンチマークに基づいているため、より幅広いタスクで評価したモデルの推定と比べ、統計上の不確実性が大きい。
米国のクローズドウェイトモデルは、拒否応答を減らして最大能力を測定できるよう、システム上の安全策を無効にしてテストされた。一般向けのバージョンでは安全策が有効になっている。そのため結果を比較する際は、モデル自体の能力だけでなく、利用時に適用される制御も考慮する必要がある。
K3.1 Proの新たな81.0％という結果は、Moonshot独自の異なるテストによるものだ。同じテストで前モデルが33.3％だったことから、K3との比較はそのテスト内で行うのが最も有効だ。新モデルの独立評価があれば、セキュリティチームは能力をより確かな根拠に基づいて判断できる。
中国、禁止と制限を提案
中国の2省庁は2026年10月16日、公告第48号を発表した。輸出禁止・制限技術カタログの改定案への意見を募集しており、提出期限は11月15日まで。
追加案の対象は40技術で、AI関連が23、バイオ医薬が5、太陽光発電製造が12となっている。3分野全体で14技術を輸出禁止とし、26技術に制限を設ける。
AI関連の分類には、大規模モデル、エージェント、コンピューティングクラスター、情報処理が含まれる。エージェントとは、単一の質問に答えるだけでなく、ツールを使い、目標に向けて一連の行動を行うシステムだ。
悪意あるコードを生成・改変するAI技術は、輸出禁止の提案対象に含まれる。脆弱性を発見するAI技術は、輸出制限の対象案に含まれる。この違いは重要だ。禁止は対象となる輸出を禁じる一方、制限は対象となる移転を輸出管理下に置く。
商務省の政策説明によると、これらの技術は重要情報インフラや防衛産業システム、政府中枢システムへの攻撃、またはセキュリティ対策の回避に使われる可能性がある。同省は改定について、特定の国・地域・組織を対象としない、通常の技術貿易管理だと説明している。
最終規則の前に登録を開始
中国のカタログ改定案は意見募集の段階にあるが、暫定的な登録要件は10月16日の公告と同時に発効した。改定カタログが施行されるまで、輸出事業者は対象となる技術移転を輸出前に登録しなければならない。すでに始まっているものの未完了の移転も対象となる。
公告は、対象となる取り決めをいくつか挙げている。技術の所有権を国外に移すこと、国内技術の海外利用を許諾すること、国内技術の所有権または実質的な支配権が外国側に移る変更などだ。
登録は、商務省の統一業務プラットフォームにある技術貿易申請システムを通じて行う。輸出事業者は、輸出者と受取人、仕向け国・地域、技術、用途、輸出見込み額などを提出しなければならない。
同省は、技術の移転とサービスへのアクセス提供も区別している。提案規則についての説明によると、制限対象のAI技術を海外でローカル環境に導入することは輸出管理の対象となる。一方、企業が自社の海外クラウドで導入するなど、一定の形態は自動許可手続きの対象となる可能性がある。
API、アプリ、ウェブサイト、またはSaaSを通じたモデルへのアクセス提供は、説明に示された大規模モデル技術の輸出区分には含まれない。ローカル端末への軽量な導入も同区分の対象外とされる。APIとは、あるコンピュータープログラムが別のプログラムにサービスを要求する仕組みで、顧客はモデルの基盤ファイルを受け取らずに利用できる。
オープン公開には別の扱い
中国の公告は、オープンソースの公開や学術論文を通じてすでに公知となっている技術を対象外としている。同省はまた、オープン公開、海外との研究協力、関連活動に関わる一部のAI技術輸出について、自動許可やその他の簡略手続きを説明している。
そのため、技術的な能力に加えて、公開方法や移転の形態も重要になる。ホスト型モデルを提供する企業、制限対象技術を海外導入向けに移転する企業、すでに公知の技術を配布する開発者では、示された枠組みのもとで異なる扱いを受ける可能性がある。
Moonshotが予定するウェイト公開は、こうした区別を同社の国際展開に関わるものにする。政府はこれらの文書でK3.1 Proの分類を公表しておらず、最終カタログの施行日も示していない。
今後の予定では、モデル公開と政策手続きの日程が接近している。
- 2026年7月16日：Kimi K3を公開。ウェイト版は7月27日に公開予定とした。
- 10月16日：中国が公告第48号を発表し、意見募集と暫定的な輸出登録を開始。
- 10月23日：MoonshotがK3.1 Proを公開。
- 10月24日：Moonshotが攻撃的なサイバー能力の削減について説明。
- 11月4日：MoonshotがK3.1 Proのウェイトを公開する予定。
- 11月15日：輸出カタログ改定案への意見募集が終了。
価格低下と能力向上
K3.1 Proの幅広い公開によって、サイバーセキュリティの専門業務以外でもモデルの能力が重要となる理由が分かる。モデルの総パラメーター数は2兆8,000億で、うち有効パラメーターは1,040億。同社の説明では、約3兆パラメーター級に位置する。パラメーターとは、学習を通じてモデルが獲得する数値設定だ。
コンテキストウィンドウは100万トークンで、テキストと画像を受け付ける。トークンはシステムが処理する情報の単位で、コンテキストウィンドウが大きいほど、1つのタスクでより多くの情報を扱える。Moonshotは、2～3倍速く動作するとするK3.1 Pro Highspeedも提供している。
標準APIの料金は、入力が100万トークン当たり3ドルから2ドルに、出力が15ドルから10ドルに下がり、いずれも3分の1の値下げとなった。以前処理した情報を再利用するキャッシュ入力は、100万トークン当たり0.30ドルから0.20ドルに下がった。Highspeedの料金は入力が4ドル、出力が20ドルとなっている。
Artificial AnalysisのIntelligence Indexでは、K3.1 Proは55点で4位となり、K3から11点上昇した。58点のClaude Opus 5.5との差は3点だった。Moonshotによるターミナル上のコーディング比較では、K3.1 Proは65.7％で、Opus 5.5の66.4％に迫った。一方、科学分野のターミナル作業では、Moonshotが示したK3.1 Proのスコアは38.1で、GPT-6 Astraの68.1、Opus 5.5の63.3を下回った。
Moonshotはテストごとに異なる誤り率も公表した。公開ブログでは、事実を捏造したり誤った主張をしたりする割合は8.3％で、K3の23.4％から低下した。異なる会話セットを使ったAPIクイックスタートでは6.85％で、K3の23.35％から低下した。どちらも専門的なテストについての数値であり、顧客は実際の業務で回答を確認する必要がある。
開発者やセキュリティチームにとって、直近の変化は、より強力なコーディング・自動化能力を、より低いトークン単価で利用できることだ。Moonshotがウェイトを公開すれば、導入、改変、安全策をめぐる判断の多くは、ダウンロードする組織に委ねられることになる。
要点
- Moonshotによると、サイバー関連の学習データを取り除いた結果、K3.1 Proの社内エクスプロイトテストのスコアは90.5％から81.0％に低下した。
- フィルタリング後も、同じテストで前モデルのKimi K3が記録した33.3％を大きく上回った。
- 社内ベンチマークは非公開で、新たな結果も独立した検証を受けていない。
- 英国と米国の過去のテストでは、K3は企業ネットワークを模した攻撃を10回中1回完了した。
- 中国は、AIによるマルウェア技術の輸出禁止と、AIによる脆弱性発見技術の輸出制限を提案している。
- 暫定的な輸出登録は10月16日に始まった。意見募集は11月15日に終了する。
- Moonshotは11月4日までにK3.1 Proのウェイトを公開する予定で、外部の開発者が利用方法をより自由に決められるようになる。
