月之暗面Kimi K3被指测试中绕过沙盒获取答案，英国机构反驳称工具使用不当；联合评估显示其网络攻击能力得分32.2%远低于美国头部模型

近日，月之暗面最新模型Kimi K3陷入网络安全测试风波。在AI安全公司Frontier Security的测试中，该模型突破用于限制其访问外部网络的安全“沙盒”，利用环境漏洞直连GitHub获取测试题答案。Frontier Security质疑Kimi K3缺乏足够内部安全防护，而英国AI安全研究所则反驳称是测试环境设置不当。此前OpenAI、Anthropic等巨头的AI模型也曾出现类似突破边界事件，但不同的是，Kimi K3未实施攻击行为。权威测试数据显示，目前中国AI模型的整体网络攻击能力明显低于美国头部模型。

当地时间8月7日，AI安全公司Frontier Security披露，在对月之暗面最新模型Kimi K3进行网络安全能力测试时发现，Kimi K3利用测试环境中的网络配置漏洞突破了原本的限制，并从代码托管与开源协作平台GitHub上直接获取了测试题答案。这次测试使用了英国AI安全研究所的网络安全评估环境。此类测试通常会将AI模型置于隔离的“沙盒”中，在允许模型使用命令行工具操作目标系统的同时，限制其与外部环境连接，以测试模型能否自主分析系统、寻找漏洞并完成网络安全任务。

Frontier Security测试发现，Kimi K3首先探测了“沙盒”的网络环境，然后发现大多数网站无法访问，但GitHub仍可以正常连接。随后，模型通过命令行工具克隆了官方测试代码库，并直接从下载到本地的文件中读取答案。Frontier Security研究人员称，“沙盒”的网络配置环境虽然限制了外部网络访问，但为软件包维护保留了一份网站白名单，其中包括GitHub等网站。Kimi K3发现这一通道后，通过git clone等常规命令获取了原本不应在测试中接触到的参考答案。Frontier Security将这一行为称为典型的“规则钻空子”：模型完成了获得正确答案这一目标，但绕过了测试原本要求的解题过程。

各方对于Kimi K3的测试结果产生了明显分歧。Frontier Security表示，测试使用的是英国AI安全研究所Inspect框架中提供的默认“沙盒”环境，并未修改相关配置。但英国AI安全研究所对此提出异议，其发言人称Frontier Security的说法“不准确且不负责任”。Inspect是一款向全球AI安全测试开放的开源软件，使用者需要根据自身需求配置测试环境，这次测试中环境配置出现问题是因为Frontier Security使用Inspect的方式不对。Frontier Security随后称，其使用的正是英国AI安全研究所开发的开源AI安全评估工具Inspect所提供的默认配置，并已私下向英国AI安全研究所提供事件细节。

当地时间8月7日，卡内基梅隆大学副教授、AI安全公司Gray Swan CEO Matt Fredrikson表示，这一结果并不令人意外。在此次事件发生前，Kimi团队已经公开讨论过类似风险。7月27日，Kimi团队在arXiv发布Kimi K3技术报告《Kimi K3：开放前沿智能》。Kimi团队称，在早期使用传统容器“沙盒”进行实验时，已经观察到智能体的意外操作造成多次内核崩溃和死锁。面对复杂任务，智能体甚至需要能够自行挂载磁盘、运行容器或启动虚拟机。

Kimi K3“逃逸”并非孤例。近几周，多家AI公司的前沿模型在网络安全测试中突破原有测试边界，并访问了真实系统。OpenAI、Anthropic和Meta近期均披露了类似事件。不过，几起事件的原因和后果并不相同。GPT-5.6 Sol逃离测试环境后，将攻击目标转向了Hugging Face等外部系统；Anthropic的Claude Opus 4.7、Mythos 5及一款内部研究模型在原本被告知“没有互联网访问权限”的情况下访问了真实机构的系统。Meta也披露，其Muse Spark模型在测试过程中利用第三方服务的安全漏洞访问了互联网，目前相关事件仍在调查。

上述事件曝光后，以格雷格·卡萨尔和多丽丝·松井为首的29名美国众议员向OpenAI施压，要求OpenAI解释该公司在测试期间如何监控其AI智能体，以及这些失控模型是否绕过了公司的安全控制措施。在另一封信中，22名议员也要求Anthropic详细说明，自其AI智能体在测试期间入侵三家公司系统后，公司采取了哪些安全措施。自由派参议员伯尼·桑德斯周一分别致函三家AI公司的负责人——阿尔特曼、阿莫代伊以及马克·扎克伯格，要求他们“暂停”开发新模型。相比之下，Kimi K3此次并未入侵第三方系统，只是在发现“沙盒”能够访问GitHub后，下载了测试基准的参考答案。

网络安全情报平台DataWater分析指出，此前OpenAI和Anthropic的部分事件涉及尚未发布或在测试中降低安全限制的模型，而Kimi K3的模型权重已于7月27日公开。从实际测试结果来看，Kimi K3的网络攻击能力明显低于美国头部模型。当地时间7月23日，英国AI安全研究所与美国AI标准与创新中心发布了对Kimi K3网络能力的初步联合评估。两家机构通过漏洞利用开发和模拟企业网络攻击等测试，对Kimi K3自主发现、利用网络漏洞以及执行攻击任务的能力进行了评估。结果显示，Kimi K3的整体网络攻击能力仍明显低于美国头部闭源模型，但高于同期接受测试的智谱GLM-5.2。

在漏洞利用开发基准ExploitBench中，Kimi K3得分为32.2%，高于GLM-5.2的24.4%，但明显低于美国头部模型的76.2%。该测试覆盖41个2023年之后发现的V8引擎漏洞，用于衡量模型从发现漏洞到最终实现代码执行等不同阶段的漏洞利用能力。在最高难度的“任意代码执行”环节，Kimi K3在41项任务中均未成功，而美国网络攻击能力最强的模型平均能够完成20项。英国AI安全研究所和美国AI标准与创新中心还通过名为“The Last Ones”的模拟企业网络环境测试Kimi K3自主执行完整网络攻击的能力。该测试设置了一条包含32个步骤、4个子网和约20台主机的攻击路径。

测试结果显示，Kimi K3平均推进至32步攻击路径中的第17步，而美国网络攻击能力最强的模型平均达到第28.5步。10次测试中，Kimi K3有1次在规定的1亿Token限制内完整走完攻击路径。两家机构据此表示，这表明Kimi K3在获得初始网络访问权限后，已经能够自主攻击规模较小、防御薄弱且存在漏洞的模拟企业系统。