英国のAI安全機関UK AISI（AI Security Institute）と、米国国立標準技術研究所（NIST）傘下のCAISI（Center for AI Standards and Innovation）は2026年7月23日、中国の月之暗面科技（Moonshot AI）が開発した最新モデル「Kimi K3」のサイバー攻撃能力に関する予備評価の結果を公表した。評価では、Kimi K3のサイバー能力が米国の最先端（フロンティア）モデルを大きく下回る一方で、既存の中国製オープンウェイトモデルは上回ることが示された。加えて、モデルの安全対策が攻撃的なサイバー作戦への協力を止められなかった点も指摘されており、オープンウェイトモデルの拡散が進むなかでのリスク管理のあり方に一石を投じる内容となっている。
評価の枠組み
対象となったKimi K3は2026年7月16日に公開され、7月27日ごろにオープンウェイト（重みを一般公開する形態）でのリリースが予定されていたモデルだ。UK AISIとCAISIは、公開・非公開のベンチマークを組み合わせ、脆弱性を突く「エクスプロイト開発」の能力と、模擬的な企業ネットワークへの侵入を最後まで遂行できるかを測る「サイバーレンジ」の2つの軸で、Kimi K3の能力を検証した。
なお両機関は、これはあくまで小規模なベンチマークによる予備的な評価であると位置づけている。比較対象とした米国のクローズドウェイトモデルは、拒否反応を減らして最大能力を測定するためにシステムレベルの安全対策を無効化した状態で評価されており、一般に公開されている版ではこれらの対策が有効化されている点にも注意が必要だとしている。
エクスプロイト開発では米モデルに大きく及ばず
脆弱性から実際に動く攻撃コードを組み立てる能力を測る公開ベンチマーク「ExploitBench」（カーネギーメロン大学が開発）では、Kimi K3のスコアは32%だった。ExploitBenchは、Chromeを支えるJavaScript／WebAssemblyエンジン「V8」に関する、2023年以降の比較的新しい41件の脆弱性を用いてモデルを試す。
Kimi K3は、攻撃者が標的を乗っ取れる最も深刻な結果である「任意コード実行（ACE）」に、41件すべてで一度も到達できなかった（0/41）。これに対し、最もサイバー能力の高い米国モデルは平均で41件中20件（20/41）でACEを達成しており、その差は大きい。UK AISI / CAISIは、この能力差を「米国の最先端モデルを大きく下回る」と総括している。
模擬ネットワーク攻撃では10回に1回だけ完遂
もう一つの評価軸となったサイバーレンジ「The Last Ones（TLO）」は、4つのサブネットと約20台のホストにまたがる全32ステップの模擬企業ネットワーク攻撃で、熟練の専門家でも完遂に約20時間を要する難度とされる。この評価でも、Kimi K3が到達したのは平均でステップ17までで、米国の最先端モデルの平均28.5ステップを下回った。
ただし、10回の試行のうち1回はKimi K3が制限トークン内でTLOを完遂した。これは、初期侵入の足場を与えられ、明確に指示された条件下であれば、防御の弱い小規模な企業システムを自律的に攻撃しきる能力を持つことを意味する。もっともTLOは、能動的な防御担当者や防御ツールが存在せず、警報を発する行為へのペナルティもない、意図的に攻撃経路が用意された環境であり、現実のネットワークとは条件が異なる点にも留意が必要だ。
オープンウェイトモデルでは最上位
一方、同じ中国製のオープンウェイトモデルとの比較では、Kimi K3はより高い能力を示した。ExploitBenchではGLM-5.2の24%を上回る32%を記録し、TLOでも平均ステップ17と、GLM-5.2の平均ステップ11を上回った。UK AISI / CAISIは、Kimi K3を2026年6月時点で最もサイバー能力の高いオープンウェイトモデルだったGLM-5.2を上回るモデルと位置づけている。また、かつては一部のモデルにしか解けなかったTLOの完遂が、もはや限られたモデルだけのものではなくなってきているとも指摘している。
安全対策が攻撃協力を止められなかった点の重み
今回の評価で見過ごせないのは、Kimi K3の安全対策（セーフガード）が、エクスプロイト開発や攻撃的なサイバー作戦の試みを止められなかったという指摘だ。能力そのものは米国の最先端モデルに及ばないとはいえ、拒否や抑制が働かないまま攻撃支援に応じてしまうのであれば、悪用のハードルはその分だけ下がる。
とりわけ重要なのは、Kimi K3がオープンウェイトでの公開を控えていた点である。重みが一般に配布されれば、第三者が安全対策を取り除いたり微調整したりすることが技術的に容易になり、攻撃能力を引き出す余地が広がる。国家機関が最新モデルのサイバー能力を継続的に測定し、フロンティアとの差や安全対策の実効性を公表していく取り組みは、能力の急速な向上とオープンウェイト化が同時に進む現状において、防御側が脅威の水準を見積もるうえでの重要な指標となる。企業のセキュリティ担当者にとっても、AIによる攻撃支援が現実味を帯びつつあることを前提に、検知・防御体制を見直す契機となる評価だといえる。