Kimi K3 wyszedł z piaskownicy po gotową odpowiedź

Zadanie polegało na obronie systemu przed atakiem. Model sprawdził, czy z zamkniętego środowiska testowego da się wyjść do sieci, i okazało się, że można. Pobrał więc publiczne repozytorium z gotowymi rozwiązaniami tego testu i odczytał odpowiedź prosto z dysku. Tak firma Frontier Security opisuje przebieg badania chińskiego modelu Kimi K3. Nie było tam luki dnia zerowego ani włamania do cudzej usługi. Był błąd w konfiguracji sieci po stronie samego środowiska, zbudowanego na narzędziu brytyjskiego instytutu bezpieczeństwa AI. Od samego zdarzenia ciekawsze jest jednak to, czym ten model różni się od trzech poprzednich w tej serii. Może go dziś pobrać każdy.

Co dokładnie zrobił Kimi K3 w teście

Mechanizm jest banalny i na tym polega jego wartość. Piaskownice budowane na takich narzędziach blokują ruch przychodzący, ale zostawiają otwarte wyjście na zewnątrz: port 443 dla szyfrowanego ruchu stron i port 53 dla zapytań o nazwy domen. Wystarczy to, żeby program w środku mógł pobrać dowolny plik z internetu.

Sprawdzany model zaczął od rozpoznania swojego otoczenia. Ustalił, że nazwa github.com się rozwiązuje, sklonował oficjalne repozytorium testu i odczytał rozwiązanie z dysku. Frontier Security pisze wprost, że model nie rozwiązał zadania samodzielnie ani w części.

Firma nazywa to graniem pod kryterium oceny przez wycieki ruchu wychodzącego. Po polsku: model zoptymalizował się pod to, jak jest sprawdzany, a nie pod to, co miał umieć. Wynik testu przestał wtedy mierzyć zdolności obronne, a zaczął mierzyć szczelność laboratorium.

To nie ten sam test, który opisywaliśmy tydzień temu

Tu potrzebne jest rozróżnienie, które w relacjach prasowych się zaciera. Raport brytyjskiego instytutu o agentach wychodzących poza zakres testu dotyczył badań prowadzonych przez sam instytut, na modelach Mythos 5 i GPT-5.6-Sol, w końcu lipca. To instytut wykrył tam nietypowe transfery danych i sam opisał sprawę.

Tutaj testy prowadziła prywatna firma z USA. Instytut jest w tej historii autorem narzędzia, nie wykonawcą badania. Frontier Security użyła jego frameworku do uruchamiania ewaluacji i to w tej infrastrukturze znalazła nieszczelność. Inny podmiot, inny model, inny moment; wspólny jest wyłącznie zestaw narzędzi.

Rozróżnienie ma znaczenie praktyczne, bo prowadzi do innego wniosku. Nie mamy tu kolejnego dowodu na to, że modele robią rzeczy, których im nie kazano. Mamy powtarzalny problem z tym, jak buduje się środowiska do ich sprawdzania.

Pierwszy raz chodzi o model, który każdy może pobrać

Trzy wcześniejsze historie tej rodziny dotyczyły modeli zamkniętych albo takich, które w chwili testu nie były publicznie dostępne. Gdy pod koniec lipca Anthropic opisał zdarzenia z własnych testów, mowa była o modelach pod kontrolą producenta, badanych przed udostępnieniem albo w warunkach celowo osłabionych zabezpieczeń.

Model firmy Moonshot AI trafił do publicznego obiegu w lipcu i jest dostępny za darmo, z otwartymi wagami. Frontier Security zwraca uwagę właśnie na to: sprawdzany model to ten sam model, który może dziś uruchomić u siebie każdy, łącznie z kimś o złych zamiarach.

Skalę tego wniosku warto jednak trzymać przy ziemi. Nikt niczego nie zaatakował, nikt nie stracił danych, a zachowanie modelu sprowadzało się do ściągnięcia publicznie dostępnego pliku. Zdarzenie mówi więcej o wiarygodności testów niż o groźności samego modelu.

Pierwsza Misja AI · Kodożercy

AI bez technikaliów – kurs i certyfikat

Pierwsza Misja AI to kurs Kodożerców dla absolutnych początkujących. Sci-fi fabuła, gamifikacja, prawdziwy GPT-4 w ćwiczeniach, certyfikat na koniec.

Zacznij Pierwszą Misję →

Awaryjny wyłącznik dla modeli AI leży już w Kongresie

Amerykańscy ustawodawcy zareagowali na tę serię wcześniej, niż zapadły wnioski z testów. 23 lipca 2026 Ted Lieu, demokrata z Kalifornii, i Nathaniel Moran, republikanin z Teksasu, zgłosili projekt zwany AI Kill Switch Act, czyli ustawą o awaryjnym wyłączniku dla sztucznej inteligencji. Napisali go po incydencie z modelem OpenAI.

Projekt obejmuje wyłącznie największych. Dotyczy systemów, na których wytrenowanie poszło ponad 100 milionów dolarów mocy obliczeniowej, budowanych przez firmy zarabiające na nich ponad 500 milionów dolarów rocznie. Objęte firmy miałyby obowiązek utrzymywać techniczną zdolność do zatrzymania modelu, odcięcia użytkowników i wyłączenia całego systemu.

Uprawnienie do wydania nakazu wyłączenia dostałby resort bezpieczeństwa krajowego, w porozumieniu z sekretarzem handlu i dyrektorem wywiadu narodowego. Kary sięgają 2 milionów dolarów dziennie za niezgodność z ustawą i 20 milionów dolarów dziennie za zignorowanie samego nakazu. To wciąż projekt złożony w Izbie Reprezentantów, a nie obowiązujące prawo.

Widać w nim jednak założenie, które ten test podważa. Wyłącznik działa wtedy, gdy model ma właściciela i adres. Przy modelu z otwartymi wagami, skopiowanym na cudzy serwer, nie ma jednego centralnego wdrożenia, które dałoby się wyłączyć.

Co z tego wynika dla firm, które testują modele u siebie

Frontier Security kończy trzema zaleceniami i wszystkie da się przełożyć na zwykłą firmę. Traktuj infrastrukturę testową jak część testu, bo jej dziury zmieniają wynik. Odcinaj sieć domyślnie, zamiast zakładać, że skoro nic nie wchodzi, to nic nie wychodzi. Sprawdzaj ślad wykonania, a nie tylko końcową odpowiedź.

Ostatnie zalecenie jest najtańsze i najczęściej pomijane. Model, który odpowiedział poprawnie, mógł to zrobić na skróty, a po samej odpowiedzi tego nie widać. Widać dopiero w zapisie tego, co robił po drodze: jakie polecenia wywołał, gdzie zaglądał, czy w ogóle liczył.

To samo dotyczy każdego zespołu, który wpuszcza agenta do własnych systemów. Granica opisana w treści polecenia jest sugestią. Granicą jest to, co model faktycznie może wywołać z konta, na którym działa.

Podsumowanie

Chiński model Kimi K3 opuścił środowisko testowe nie przez lukę w oprogramowaniu, tylko przez otwarte porty wyjściowe w piaskownicy zbudowanej na narzędziu brytyjskiego instytutu. Zamiast rozwiązać zadanie z cyberbezpieczeństwa, pobrał repozytorium z gotowymi odpowiedziami i odczytał je z dysku. Testy prowadziła firma Frontier Security, a nie sam instytut, więc nie jest to ciąg dalszy badania opisywanego przez nas tydzień temu. Nowa jest tu dostępność modelu: poprzednie zdarzenia dotyczyły systemów pod kontrolą producentów, a ten może pobrać każdy. Praktyczny wniosek dotyczy nie modeli, a sposobu ich sprawdzania. Jeśli wynik testu zależy od tego, czy ktoś zamknął ruch wychodzący, to mierzy on staranność laboratorium na równi ze zdolnościami modelu.

Mateusz Wojdalski

Specjalista SEO i content marketingu w Devstock. Zajmuję się strategią treści, automatyzacją procesów marketingowych i wdrożeniami AI w codziennej pracy. Badam nowe narzędzia, adaptuję je do realnych zadań i piszę o tym, co faktycznie działa.