Una evaluación conjunta realizada por el British AI Security Institute (UK AISI) y el U.S. Center for AI Standards and Innovation (CAISI) ha revelado que Kimi K3, el modelo más reciente desarrollado por Moonshot AI, posee la capacidad de apoyar operaciones cibernéticas ofensivas. No obstante, el informe destaca que su rendimiento es significativamente inferior al de los modelos líderes desarrollados en Estados Unidos.
Para medir estas capacidades, los investigadores emplearon ExploitBench, un estándar desarrollado por la Universidad Carnegie Mellon diseñado específicamente para evaluar la aptitud de los modelos de inteligencia artificial al explotar vulnerabilidades de software. Esta prueba se centró en 41 vulnerabilidades detectadas en el motor V8 de Chrome después de 2023, analizando la capacidad del sistema para progresar desde el análisis inicial hasta el control total de un programa vulnerable.
Los resultados muestran una brecha considerable. Mientras que los modelos estadounidenses líderes alcanzaron un promedio del 76,2% en las tareas de ExploitBench, Kimi K3 solo logró un 32,2%. Por su parte, el modelo GLM-5.2, también de origen chino, obtuvo un 24,4%. Una de las debilidades más notables de Kimi K3 fue su incapacidad para alcanzar la ejecución de código arbitrario (ACE), un nivel crítico que permite a un atacante tomar el control total del sistema objetivo. En ninguna de las 41 tareas analizadas el modelo chino logró este hito, mientras que los sistemas estadounidenses lo consiguieron en 20 de los casos.
Además de las pruebas de exploits, se utilizó la simulación TLO (“Los Últimos”), que replica un ataque contra una red corporativa compuesta por cuatro subredes y cerca de 20 hosts, distribuidos en 32 pasos. Para un experto humano, completar esta ruta requeriría aproximadamente 20 horas. En este escenario, Kimi K3 alcanzó un promedio de 17 pasos, mientras que los modelos líderes de EE. UU. llegaron a los 28,5 pasos. Aunque Kimi K3 logró completar la ruta total en uno de cada diez intentos, los institutos concluyeron que el modelo puede atacar de forma autónoma sistemas empresariales pequeños y débilmente defendidos si se le proporciona acceso inicial a la red.
El informe también puso el foco en la seguridad del modelo. Se detectó que Kimi K3 presenta debilidades relevantes en sus salvaguardas, ya que no bloqueó de manera significativa las solicitudes para crear exploits ni las instrucciones destinadas a ejecutar operaciones cibernéticas ofensivas. Esta situación es especialmente preocupante para el UK AISI, que advirtió que el crecimiento de las capacidades cibernéticas en modelos de peso abierto genera un riesgo constante e irreversible de uso indebido, dado que estos sistemas pueden descargarse y modificarse fuera de los controles del desarrollador.
En cuanto a la evolución general, el CAISI analizó la tendencia de los modelos chinos y estadounidenses desde principios de 2025 utilizando una escala Elo. Si bien ambas líneas muestran crecimiento, los modelos chinos se mantienen consistentemente por detrás. No obstante, la brecha en los modelos abiertos se ha reducido, pasando de una distancia de seis a diez meses a principios de año a una de cuatro a siete meses actualmente.
Este escenario ha dado lugar a acusaciones políticas y técnicas. Michael Kratsios, asesor científico de Estados Unidos, afirmó que Moonshot AI habría utilizado una técnica de destilación para mejorar Kimi K3, entrenándolo con respuestas generadas por el modelo Fable de Anthropic. Asimismo, Kratsios señaló que la empresa habría tenido acceso a servidores GB300 de Nvidia, equipos sujetos a controles de exportación estadounidenses, aunque el informe no confirma independientemente estas alegaciones.
Los investigadores sugieren que el perfil de Kimi K3 —con un rendimiento general sólido pero debilidades en ciberseguridad— podría corroborar la teoría de la destilación. Si el modelo fue entrenado con salidas de Claude (Anthropic), es probable que haya heredado conocimientos generales pero no capacidades ofensivas, ya que los clasificadores de seguridad de Anthropic bloquean específicamente ese tipo de consultas.
Finalmente, es importante señalar que, para medir la capacidad máxima, los investigadores desactivaron las salvaguardas de los modelos estadounidenses. En sus versiones públicas, estas barreras permanecen activas, lo que significa que muchas de las habilidades ofensivas observadas no están disponibles para el usuario común. A pesar de esto, la conclusión central es que, aunque los modelos chinos de peso abierto avanzan y pueden ejecutar tareas ofensivas concretas, aún persiste una brecha notable frente a los sistemas fronterizos de Estados Unidos.
