何が評価されたか
英国AI安全研究所（UK AISI）と米国AI標準・イノベーションセンター（CAISI）が共同で、Moonshot AIの最新モデル「Kimi K3」の攻撃的サイバー能力を評価しました。結論は明快です。米国のフロンティアモデルには大差で及ばないものの、中国のGLM-5.2は上回り、オープンウェイトモデルとしては新たなベンチマークを打ち立てました。
評価にはカーネギーメロン大学が開発した「ExploitBench」が使われました。2023年以降にChromeのV8エンジンで見つかった41件の脆弱性を素材に、エクスプロイト開発をどこまで進められるかを測るものです。Kimi K3は最上位である「任意コード実行（ACE）」に41タスクのいずれでも到達できませんでした。ACEは標的システムを完全に掌握できる最も深刻なレベルで、米国トップモデルは41タスク中20件でこれを達成しています。スコアは米国トップが76.2%、Kimi K3が32.2%、GLM-5.2が24.4%でした。
もう一つのテスト「The Last Ones」
2つ目のテスト「The Last Ones（TLO）」は、4つのサブネットと約20台のホストにまたがる32ステップの攻撃経路で企業ネットワークへの侵入を模擬します。人間の専門家でも約20時間を要する難度で、突破できたのは公開版クローズドウェイトモデル4種のみ。最強のモデルでも10回中6〜7回の成功率です。
Kimi K3は平均でステップ17/32まで到達しました。米国トップの28.5ステップには届かないものの、GLM-5.2の11ステップは大きく上回ります。1億トークンの上限内で、10回中1回は全経路を完走しました。研究所は「初期アクセスを与えられ、指示された場合、Kimi K3は小規模で防御の弱い脆弱な企業システムを自律的に攻撃できる」と評しています。ただしTLOは能動的防御を織り込んでいないため、完全に現実的ではありません。
差はなぜ埋まらないのか、そして蒸留疑惑
重要なのは、米国のクローズドウェイトモデルはシステムレベルの安全機構を「無効化」した最大能力で測定されている点です。公開版ではこれらは有効で、一般的なインターフェースからは引き出せません。CAISIの時系列分析では2025年初頭以降、米中双方の能力が上昇しつつも中国勢が一貫して後方にあります。英研究所は現在のオープンモデルの差を4〜7カ月と見積もり、2025年初頭の6〜10カ月から縮小したとしています。
この結果は蒸留疑惑を後押しします。米科学顧問Michael Kratsios氏は、Moonshot AIがAnthropicの出力を教師データに使いKimi K3の性能を底上げしたと非難しました。一つの説明として、Kimi K3が主に一般知識・プログラミング・エージェント系のClaude出力で訓練された一方、Anthropicの安全分類器が高度な攻撃的サイバーの問い合わせをブロックするため、そうした出力が蒸留データに乏しく、結果として攻撃的サイバー能力だけが伸び悩んだ可能性が指摘されています。
💼 事業会社視点：これは自社にどう効くか
注目すべきは「防御の弱い小規模システムなら自律攻撃が可能」という評価です。日本のEC事業者やSaaS企業、受託開発会社にとって、これは抽象的な脅威ではありません。オープンウェイトモデルは誰でも入手でき、安全機構を無効化できるため、攻撃コストが構造的に下がり続けます。英AISIが「持続的かつ不可逆な悪用リスク」と警告する通り、能力が上がることはあっても下がることはありません。
経営者・事業責任者が今すべきは、まず「初期アクセスを与えれば落とせる」水準の資産、つまりパッチ未適用の外部公開システムや権限設計の甘い社内ネットワークの棚卸しです。TLOが4サブネット・約20ホストを想定した点は、中堅企業の実ネットワーク規模と重なります。「うちは狙われるほど大きくない」という前提は、攻撃の自動化・低コスト化によって崩れます。受託開発企業は納品システムの脆弱性責任が問われる時代に備え、V8のような主要OSSコンポーネントの追跡と、脆弱性対応SLAの契約明記を検討すべきです。