Kimi K3.1 Pro limita gli exploit, ma supera l’80% nei test cyber

🛡️ Executive Summary

• Moonshot AI riduce deliberatamente le capacità offensive di Kimi K3.1 Pro, eliminando dati cyber dall’addestramento prima della pubblicazione dei pesi prevista per il 4 novembre.
• Il benchmark interno passa dal 90,5% all’81% di successi: il modello filtrato continua comunque a superare nettamente il predecessore nella ricerca e nello sfruttamento delle vulnerabilità.
• La Cina prepara nuove restrizioni sulle tecnologie AI offensive: il caso Moonshot apre il confronto tra sicurezza dei modelli, ricerca difensiva e impossibilità di controllare completamente gli open-weight.

Moonshot AI ha ridotto deliberatamente le capacità offensive di Kimi K3.1 Pro prima della pubblicazione dei pesi, prevista per il 4 novembre 2026. Il nuovo modello cinese, già utilizzabile nei servizi Kimi, è stato addestrato eliminando parte dei dati relativi alla sicurezza informatica per limitare la scoperta e lo sfruttamento automatico delle vulnerabilità. La scelta produce però un risultato controverso: secondo i test interni, Kimi risolve ancora l’81% dei compiti di exploit, contro il 90,5% di una versione non filtrata. Una diminuzione misurabile, ma non una neutralizzazione del rischio, tanto più delicata per un modello che potrà essere eseguito e modificato fuori dai server del produttore.

Moonshot elimina i dati offensivi dall’addestramento di Kimi K3.1 Pro

Il nuovo Kimi K3.1 Pro è una versione ulteriormente addestrata di Kimi K3, basata su un’architettura mixture-of-experts con 2.800 miliardi di parametri complessivi, 104 miliardi attivi e una finestra di contesto fino a un milione di token. La documentazione tecnica di Moonshot AI descrive un potenziamento delle capacità di programmazione, ragionamento e lavoro agentico, ottenuto anche aumentando il calcolo destinato all’addestramento per rinforzo. Proprio questo miglioramento generale ha fatto crescere la capacità di analizzare software vulnerabile, costruire procedure di sfruttamento e portare a termine operazioni articolate. Il produttore sostiene di aver individuato il contributo di esempi cyber presenti sia nei dati di addestramento intermedio sia negli ambienti utilizzati per il reinforcement learning: per la versione destinata alla pubblicazione dei pesi ha quindi rimosso i contenuti offensivi individuati in entrambe le fasi, conservando attività di coding generaliste. Non è un semplice filtro che blocca determinate parole in una chat, ma un intervento sulle competenze apprese. La distinzione è importante dopo i risultati di GLM-5.3 negli exploit e il dibattito sui modelli open-weight: la medesima competenza tecnica necessaria a correggere codice può facilitare lo sfruttamento di un errore.

Leggi anche: OpenAI accusa un cluster legato a Moonshot: 15.000 account nella distillazione AI

Il benchmark degli exploit scende al 81%, ma Kimi K3 era fermo al 33%

La misura dell’effetto deriva da xdev-bench-hard, un benchmark interno che simula vulnerabilità divulgate in software come Linux, Node.js, JavaScriptCore, Exim e VirGL. I compiti mettono a disposizione codice vulnerabile, un breve indizio e un eseguibile; l’agente deve raggiungere un risultato verificabile dentro un ambiente isolato. Moonshot riporta 90,5% di successi per una versione senza restrizioni e 81,0% per K3.1 Pro, con metrica pass@3, cioè fino a tre tentativi considerati nel calcolo. Sono 9,5 punti percentuali in meno, non una riduzione del 90% del rischio né la prova che l’81% dei sistemi reali possa essere violato. Lo stesso produttore dichiara che il precedente Kimi K3 arrivava al 33,3%: il modello filtrato rimane quindi molto più efficace del predecessore sul test offensivo. Non risultano inoltre pubblici tutti i materiali necessari per riprodurre autonomamente la comparazione. Questa ambivalenza riguarda anche la difesa: modelli che scoprono problemi nel software possono aiutare a correggerli, ma hanno impieghi dual-use. La situazione richiama l’uso degli strumenti AI per individuare bug nei progetti open source, dove l’efficacia della scansione deve essere accompagnata da verifica tecnica, triage e gestione responsabile delle segnalazioni.

Il 4 novembre arrivano i pesi aperti: il vero banco di prova della sicurezza

K3.1 Pro è già accessibile attraverso i servizi Kimi e le API, mentre Moonshot promette di diffonderne i pesi entro il 4 novembre. La documentazione ufficiale di Kimi Code conferma anche la variante Highspeed, dichiarata da due a tre volte più rapida, con capacità sostanzialmente equivalenti e requisiti di accesso differenti. La pubblicazione dei pesi è il passaggio critico: chi li riceve potrà ospitare il modello, adattarlo e costruire agenti indipendenti dalle policy applicate all’interfaccia del produttore. Un filtro sull’addestramento non è però una garanzia matematica di impossibilità, perché competenze generali di programmazione possono essere riconvertite, e successivi fine-tuning potrebbero modificare il comportamento. Moonshot afferma di voler evitare che una distribuzione open-weight stabilisca un nuovo primato assoluto nelle capacità cyber offensive, ma intende aumentarne gradualmente il livello disponibile per i difensori. È una scelta industriale diversa dal semplice mantenimento di un’API centralizzata, nel solco della competizione sui modelli open-weight tra Cina e Stati Uniti. Solo dopo il rilascio sarà possibile verificare con valutazioni indipendenti se la riduzione delle capacità resista agli adattamenti.

Continua con: Anthropic riscrive le regole di Claude per l’era degli agenti autonomi

La Cina prepara restrizioni sull’AI offensiva mentre Moonshot apre il modello

La decisione arriva mentre Pechino propone un controllo più rigoroso sull’esportazione delle tecnologie AI con applicazioni offensive. Il provvedimento n. 48 del ministero del Commercio e di quello della Scienza e Tecnologia, pubblicato il 16 ottobre, sottopone a consultazione una revisione del catalogo delle tecnologie vietate o soggette a restrizioni, comprendendo generazione di malware e ricerca automatizzata di vulnerabilità. Non si tratta ancora dell’entrata in vigore integrale del catalogo definitivo: la consultazione prosegue fino al 15 novembre, mentre alcune operazioni di esportazione delle tecnologie indicate richiedono già registrazione temporanea. La proposta esclude espressamente dal proprio ambito alcune tecnologie già entrate nel pubblico dominio attraverso pubblicazioni e software aperto; non dimostra quindi che K3.1 Pro sia automaticamente soggetto a un divieto di rilascio. Per imprese e amministrazioni italiane la conseguenza non è un nuovo obbligo normativo, ma la necessità di non confondere il modello filtrato con uno strumento privo di capacità offensive. Un agente capace di scrivere codice, accedere a repository e interagire con strumenti di rete richiede ambienti isolati, privilegi minimi, audit e supervisione anche quando il suo fornitore rivendica misure preventive. La pubblicazione di Kimi sarà un test della distanza tra le promesse di sicurezza e la verificabilità delle capacità effettive.