要点（30秒で）: 英米のAI安全機関が、公開直前の中国製オープンモデル「Kimi K3」のサイバー攻撃能力を測り、米国フロンティア機の半分ほどだと結論づけた。だが安全装置は攻撃行為を止めなかった——弱いのに素直、という組み合わせが一番やっかいだ。自社の防御を「無防備な小規模システム」の水準から一段引き上げておくのが今すぐの一手になる。
この記事の内容（約7分で読めます）
7月27日、Moonshot AIの最新モデル「Kimi K3」の重みが公開される。その予定日を前に、英国のAI Security Institute（UK AISI）と米国のCenter for AI Standards and Innovation（CAISI）が異例の共同評価を出した。
テーマはただ一つ、このモデルにどれだけ攻撃的なサイバー能力があるか。オープンウェイトは一度出れば取り消せない。だからこそ、公開前に性能の輪郭を掴んでおこうという動きだ。
何が測られたのか
Kimi K3は7月16日にAPI公開された2.8兆パラメータのMoEモデルで、100万トークンの文脈長を持つ。Frontend Code Arenaでは首位を取り、総合知能指標でもClaude Opus 4.8やGPT-5.5と並ぶ——つまり、初めて西側の旗艦と同じ最前線に立ったオープンモデルだ。
その実力がそのまま攻撃力に化けるのか。両機関は二つの土俵で試した。一つはカーネギーメロン大学が作った脆弱性攻略のベンチマーク、もう一つは擬似的な企業ネットワークへの侵入試験だ。
図1：3つの物差しで見る Kimi K3 の攻撃力——「米国上位のほぼ半分、最後の一段だけ欠ける」（比較図）
数字は「米国製の半分」
まずExploitBench。2023年以降に見つかったV8エンジンの脆弱性41件を、どこまで攻略の梯子を登れるかで採点する。
Kimi K3のスコアは32%。オープンウェイトで最強とされたGLM-5.2の24%は上回ったが、最も攻撃的な米国製モデル群の平均76.2%には遠く及ばない。とりわけ象徴的なのが、任意コード実行（ACE）まで到達した数だ。上位の米国モデルが平均で41件中20件を落とすのに対し、Kimi K3は0件。梯子の途中までは登れても、最後の一段を踏み外す。
もう一つの土俵は「The Last Ones（TLO）」と呼ばれるサイバーレンジで、4つのサブネットと約20台のホストからなる32ステップの攻撃シナリオだ。Kimi K3は平均で17ステップ目まで進んだ。米国上位機の28.5ステップには届かないが、GLM-5.2の11ステップよりは深い。10回試して1回は攻略を完遂している。
図2：なぜ弱い？——「蒸留が空けた穴」の仕組み（教師が答えなかった領域が空白として遺伝する）（仕組み図）
弱くても「素直」だった
ここで評価が持つ本当の重みが出てくる。スコアが低いことより、安全装置が働かなかったことのほうが引っかかる。
報告書は、Kimi K3のセーフガードは攻撃的なサイバー作戦や脆弱性攻略の試みを一度も止めなかったと記す。押し返しもなく、求められるまま手を貸した。つまり能力の天井は低いが、その天井までは何の抵抗もなく登れてしまう。
しかも1回とはいえTLOを完遂した事実は軽くない。両機関は、Kimi K3が「初期アクセスを与えられ、指示されれば、防御の薄い小規模な企業システムを自律的に攻撃できる」と明言した。もはやTLOの攻略は一握りのモデルだけの芸当ではなくなった、とも。
図3：攻撃の基準線が下がった——最初に刺さるのはどこか、今すぐの一手は何か（影響マップ）
なぜ弱いのか——「蒸留の副作用」説
では、これだけ総合力が高いのに、なぜ攻撃の最後の一段だけ苦手なのか。ここで浮上したのが蒸留（distillation）という仮説だ。
Kimi K3は、Claudeの出力を大量に学習して作られた可能性が指摘されている。一般知識、プログラミング、エージェント的なタスク——そうした領域の教師データは潤沢に取れる。ところがAnthropicの安全分類器は、高度な攻撃的サイバーの問い合わせを最初から遮断する。
だとすれば、蒸留元のClaudeが答えなかった領域は、蒸留先のKimi K3にも流れ込まない。西側モデルの「答えない部分」が、そのまま能力の空白として遺伝したことになる。標準ベンチマークでは互角に見えて、深い攻撃能力だけがすっぽり欠ける——その形はこの仮説とよく噛み合う。皮肉な話で、西側の安全策が中国製オープンモデルの攻撃力を結果的に抑えていたことになる。
測り方のクセも押さえておく
数字を鵜呑みにする前に、評価の前提も見ておきたい。米国のクローズドモデルは、拒否反応を減らして最大能力を測るため、あえて安全装置を切った状態で試されている。素の暴れ馬同士を比べたわけではない。
集計にはItem Response Theoryを応用した手法が使われ、スコアが400点上がると攻略の見込みが10倍になる設計だ。ただしKimi K3の総合スコアは単一ベンチマークからの推定で、他モデルより信頼区間が広いと但し書きが付く。あくまで「preliminary（暫定）」——確定ではなく第一報だという位置づけだ。
この評価が置かれた文脈
なぜ政府機関がここまでするのか。背景には、オープンウェイトを巡る綱引きがある。中国製のオープンモデルが西側の旗艦に追いつく中で、遮断か開放かの議論が過熱してきた。NVIDIAら25社が「オープンを縛るな」と声を上げ、米スタートアップ約200社が中国AIの遮断に反対する。
その渦中で英米の安全機関が選んだのは、遮断でも礼賛でもなく「公開前に測って数字を置く」という第三の道だった。両機関は、オープンモデルの攻撃能力が伸びることは「持続的で不可逆な悪用リスク」を生むと釘を刺す。重みが出た後では手遅れだから、出る前に輪郭を描く——それが今回の狙いだと読める。
日本・個人開発の視点
日本の現場にとって、この報告の使いどころは「Kimi K3が怖いかどうか」ではない。攻撃の基準線が下がったという事実のほうだ。
TLOで想定された標的は、能動的な防御者のいない「防御の薄い小規模な企業システム」だった。裏を返せば、パッチ運用が甘く監視の薄い中小の環境こそ、今回のような自律攻撃が最初に刺さる場所になる。オープンな重みが手に入れば、攻撃者は自前の環境で心ゆくまで試せる。個人開発者や小さなチームが管理するサーバーほど、この前提を自分ごととして読み替えておきたい。
要点まとめ
- 英米のAI安全機関が、公開直前のKimi K3のサイバー攻撃能力を共同で暫定評価した。
- ExploitBenchで32%（米国上位平均76.2%）、任意コード実行は41件中0件と、深い攻略の最後の一段で失速した。
- ただし安全装置は攻撃行為を止めず、押し返しもなく手を貸した——弱いが素直、が結論。
- 総合力の高さと攻撃力の欠落のズレは、Claude蒸留の「答えない領域が遺伝した」副作用で説明しうる。
- 擬似ネットワークを1回完遂しており、防御の薄い小規模システムは現実的な標的になりつつある。
🐦⬛ 編集部の視点
この報告のいちばん面白いところは、「思ったより弱かった」という見出しの裏に、二つの居心地の悪い真実が隠れていることだ。
一つは、西側の安全策がライバルの手綱を握っていたという皮肉。Anthropicが攻撃的サイバーの回答を絞ってきたからこそ、そこを蒸留した中国モデルにも穴が空いた。つまり安全は伝染する——ただし、それは意図した相手にではなく、意図せぬ形で。
もう一つは、能力より姿勢の問題だ。天井が低いことは時間が解決してしまう。次のK4、K5で数字は上がるだろう。だが「求められれば押し返さず攻撃を手伝う」という性質は、スコアとは別の軸で残り続ける。私たちが本当に見ておくべきは、来月の重み公開そのものよりも、政府機関が「公開前に測る」という作法を定着させ始めたことの方かもしれない。遮断の是非で消耗する前に、まず数字を置く。その静かな一手を、どう読むだろう。
出典・リンク
- 出典: UK AISI / CAISI Preliminary Assessment of Kimi K3’s Cyber Capabilities（NIST）
- UK AISI 公式ブログ（評価の全文）
- Kimi K3 trails frontier US models by a wide margin on cyber exploits, and distillation may explain why（The Decoder）
- China’s Moonshot AI releases Kimi K3, the largest open-source model ever（VentureBeat）
- Kimi K3, and what we can still learn from the pelican benchmark（Simon Willison）
コメントを残す