Moonshot reduziert Hacking-Fähigkeiten von Kimi K3.1 Pro vor Veröffentlichung der offenen Modellgewichte und Chinas Exportregeln

Schwächer beim Hacking-Test, aber leistungsfähigeres Modell

Das Pekinger Start-up Moonshot AI gibt an, die offensiven Hacking-Fähigkeiten von Kimi K3.1 Pro vor der geplanten Veröffentlichung der Modelldateien bis zum 4. November 2026 eingeschränkt zu haben. Dadurch sank die Punktzahl des Modells bei einem internen Test zur Ausnutzung von Software-Schwachstellen von 90,5 % auf 81,0 %. Damit lag es jedoch weiterhin deutlich vor seinem Vorgänger, der 33,3 % erreichte.

Moonshot veröffentlichte K3.1 Pro am 23. Oktober und erläuterte die Einschränkungen in einer Stellungnahme vom 24. Oktober. Dabei entfernte das Unternehmen Material, das zum Vermitteln bestimmter Cyber-Fähigkeiten genutzt wurde, behielt aber die allgemeinen Programmierfähigkeiten bei, die das Modell für die Entwicklung und Reparatur von Software nützlich machen.

Die Ankündigung erfolgte acht Tage, nachdem Chinas Handelsministerium und das Ministerium für Wissenschaft und Technologie neue Exportkontrollen für Technologien vorgeschlagen hatten. Die Vorschläge würden den Export von Technologien zur Generierung und Veränderung bösartigen Codes mithilfe von KI verbieten und Technologien zur KI-gestützten Suche nach Software-Schwachstellen beschränken.

Mit Moonshots Veröffentlichung treffen diese beiden Fragen aufeinander: Wie viele Hacking-Fähigkeiten sollte ein weithin herunterladbares Modell besitzen, und wie sollten Regierungen Technologien regulieren, die sowohl Softwareverteidigern als auch Angreifern helfen können?

Moonshot erläuterte die beabsichtigte Grenze für die Veröffentlichung mit den Worten:

Unser Ziel ist es, keine offenen Modellgewichte zu veröffentlichen, die die absolute Grenze der Cyber-Fähigkeiten weiter verschieben würden.

Die Modellgewichte des Unternehmens sind die Dateien, in denen gespeichert ist, was das Modell gelernt hat. Ihre Veröffentlichung ermöglicht externen Entwicklern, das System auf eigenen Computern auszuführen und zu verändern. Das gibt den Nutzern mehr Kontrolle, verringert aber Moonshots Möglichkeiten, den Zugang zu steuern oder Schutzmaßnahmen anzupassen, sobald sich Kopien verbreiten.

Was Moonshot entfernt hat

Moonshot zufolge gelangte Cyber-Material über zwei Wege in die Entwicklung des Modells: über eine allgemeine Trainingssammlung, die in einer Zwischenphase des Trainings verwendet wurde, und über Cyber-Aufgaben in Umgebungen für Reinforcement Learning. Beim Reinforcement Learning wird ein Modell durch wiederholte Aufgabenversuche und Rückmeldungen zu seiner Leistung verbessert.

Das Unternehmen entfernte Cyber-Material aus beiden Phasen, behielt aber allgemeine Programmieraufgaben bei. Der interne Test namens xdev-bench-hard misst, ob ein Modell kürzlich offengelegte Software-Schwachstellen nachbilden und Methoden zu ihrer Ausnutzung entwickeln kann. Als erfolgreich gilt das innerhalb von drei Versuchen.

Der Test umfasst Schwachstellen in Software wie dem Linux-Kernel, Node.js und JavaScriptCore. Diese Komponenten werden für den Betrieb von Betriebssystemen, Serveranwendungen und JavaScript-Code verwendet. Ein Exploit ist eine Methode, mit der eine Software-Schwachstelle für eine Handlung ausgenutzt wird, etwa um Zugriff zu erlangen oder ein Programm zu einem unbeabsichtigten Verhalten zu bringen.

Nach der Filterung sank die Punktzahl von K3.1 Pro um 9,5 Prozentpunkte von 90,5 % auf 81,0 %. DeepSeek V4.1-Flash erreichte im selben internen Vergleich 85,7 % und lag damit vor dem gefilterten Kimi-Modell.

Kimi K3, der Vorgänger, erreichte 33,3 %. Der gefilterte Nachfolger behielt somit einen Vorsprung von 47,7 Prozentpunkten. Das zeigt, wie weit sich seine Fähigkeiten bei diesen Aufgaben selbst nach den gezielten Einschränkungen entwickelt hatten.

Warum allgemeine Programmierkenntnisse auch für Hacking wichtig sind

Moonshot führt die verbleibenden Cyber-Fähigkeiten teilweise auf Verbesserungen beim allgemeinen Programmieren und bei der Fehlersuche über längere Arbeitsabläufe zurück. Ein Modell, das Code untersuchen, einen Fehler über mehrere Dateien hinweg verfolgen und mögliche Reparaturen testen kann, kann dieselben Fähigkeiten auch zur Suche und Ausnutzung von Schwachstellen einsetzen.

Im Veröffentlichungsblog erläuterte das Unternehmen den Zusammenhang so:

verbessert sich deutlich gegenüber seinem Vorgänger. Das zeigt, dass sich bessere allgemeine Programmierfähigkeiten und die Fehlersuche über längere Zeiträume auch auf Cyber-Aufgaben übertragen, selbst wenn gezielt Daten entfernt wurden.

Softwareverteidiger können diese Fähigkeiten nutzen, um ältere Systeme zu untersuchen, denen wenig Aufmerksamkeit gilt. Moonshot führte dies als Argument für offene Modellgewichte an. Eine Organisation könnte das Modell lokal ausführen und die Software prüfen, für deren Wartung sie verantwortlich ist.

Angreifer können ähnliche Fähigkeiten nutzen, um nach Schwachstellen zu suchen und Teile eines Angriffs zu automatisieren. Die praktische Frage geht daher über die hinaus, ob ein Modell ausdrücklich bösartige Beispiele gesehen hat: Nützliche Programmierkenntnisse können sich auch auf offensive Aufgaben übertragen.

Moonshots xdev-bench-hard-Test wurde nicht veröffentlicht, und seine Ergebnisse wurden nicht unabhängig überprüft. Das Unternehmen hat auch nicht erläutert, ob externes Weitertraining die vor der Veröffentlichung entfernten Fähigkeiten wiederherstellen könnte. Das sind zentrale Fragen bei der Bewertung eines Modells, dessen Dateien Nutzer verändern können.

Was staatliche Tests bei Kimi K3 ergaben

Das britische Artificial Intelligence Security Institute und das US-amerikanische Center for AI Standards and Innovation hatten zuvor Kimi K3 untersucht. Das Modell wurde am 16. Juli 2026 veröffentlicht; die Veröffentlichung der offenen Modellgewichte war für den 27. Juli geplant. Ihre gemeinsame Cyber-Bewertung liefert einen unabhängigen Vergleichswert für den Vorgänger.

K3 erreichte beim ExploitBench 32 %, verglichen mit 24 % für GLM-5.2. Dieser von der Carnegie Mellon University entwickelte Benchmark testet Fortschritte bei der Ausnutzung von 41 Schwachstellen in V8, der Software-Engine, die JavaScript und WebAssembly in Chrome ausführt.

Bei keinem der 41 Beispiele gelang K3 die Ausführung beliebigen Codes. Führende Modelle schafften dies im Durchschnitt bei 20 Beispielen. Bei der Ausführung beliebigen Codes bringt ein Angreifer ein Zielsystem dazu, von ihm gewählte Befehle auszuführen. Das ist besonders schwerwiegend, weil es dem Angreifer Kontrolle verschaffen kann.

Die Institute testeten K3 auch mit The Last Ones, einem simulierten Unternehmensnetzwerk mit etwa 20 Computern in vier Netzwerksegmenten. Die Übung umfasst eine Abfolge von 32 Angriffsschritten und würde einen menschlichen Experten etwa 20 Stunden kosten.

Mit einem Limit von 100 Millionen Tokens erreichte K3 durchschnittlich Schritt 17, verglichen mit Schritt 11 bei GLM-5.2 und 28,5 bei führenden US-Modellen. K3 absolvierte die gesamte Übung bei einem von zehn Versuchen. Die leistungsfähigsten Modelle schafften dies bei sechs oder sieben von zehn Versuchen.

Wie die Grenzen der Tests zu verstehen sind

Den britischen und US-amerikanischen Instituten zufolge ermöglichten die Schutzmaßnahmen von K3 während ihrer Tests Versuche, Exploits zu entwickeln und offensive Cyber-Operationen durchzuführen. Ihre Ergebnisse ordnen K3 über einem früheren führenden Modell mit offenen Gewichten ein, aber unter den leistungsfähigsten getesteten Modellen.

Die Übung The Last Ones begann mit einem bereits bestehenden Erstzugriff auf das Netzwerk. Sie enthielt einen absichtlich vorgesehenen Angriffsweg, hatte weder aktive Verteidiger noch defensive Werkzeuge und sah keine Strafe für ein Verhalten vor, das Sicherheitswarnungen auslösen würde. Unter diesen Bedingungen konnte das Modell in einer strukturierten Umgebung einen Angriff verfolgen.

Die Institute bezeichneten die Tests als vorläufig und selektiv. Die zusammenfassende Schätzung der Fähigkeiten von K3 beruhte auf einem einzelnen Benchmark. Dadurch war sie mit größerer statistischer Unsicherheit behaftet als die Schätzungen für Modelle, die anhand eines breiteren Aufgabenspektrums bewertet wurden.

Bei US-Modellen mit geschlossenen Gewichten waren die Schutzmaßnahmen auf Systemebene deaktiviert, damit die Prüfer ihre maximalen Fähigkeiten mit weniger Verweigerungen messen konnten. In öffentlich verfügbaren Versionen sind diese Schutzmaßnahmen aktiviert. Wer die Ergebnisse vergleicht, muss daher sowohl die grundlegenden Fähigkeiten des Modells als auch die Kontrollen des jeweiligen Zugangsangebots berücksichtigen.

Das neue Ergebnis von 81,0 % für K3.1 Pro stammt aus Moonshots anderem, internen Test. Der Vergleich mit K3 ist vor allem innerhalb desselben Tests aussagekräftig, bei dem der Vorgänger 33,3 % erreichte. Eine unabhängige Bewertung der neuen Version würde Sicherheitsteams eine verlässlichere Grundlage zur Einschätzung ihrer Fähigkeiten geben.

China schlägt Verbote und Beschränkungen vor

Die beiden chinesischen Ministerien veröffentlichten am 16. Oktober 2026 die Bekanntmachung Nr. 48. Darin bitten sie um Stellungnahmen zu Änderungen am Katalog verbotener und beschränkter Exporttechnologien. Beiträge können bis zum 15. November eingereicht werden.

Die vorgeschlagenen Ergänzungen umfassen 40 Technologien: 23 im Bereich KI, fünf in der Biomedizin und zwölf in der Solarproduktion. In allen drei Bereichen sollen 14 Technologien vom Export ausgeschlossen und 26 Beschränkungen unterworfen werden.

Zu den KI-Kategorien zählen große Modelle, Agenten, Rechencluster und Informationsverarbeitung. Agenten sind Systeme, die Werkzeuge einsetzen und eine Reihe von Handlungen auf ein Ziel hin ausführen, statt lediglich eine einzelne Frage zu beantworten.

KI-Technologie zur Generierung und Veränderung bösartigen Codes gehört zu den vorgeschlagenen Exportverboten. KI-Technologie zur Suche nach Schwachstellen gehört zu den vorgeschlagenen Exportbeschränkungen. Der Unterschied ist wichtig: Ein Verbot würde die erfassten Exporte untersagen, während Beschränkungen die erfassten Transfers der Exportkontrolle unterwerfen würden.

In der Erläuterung der Politik des Handelsministeriums heißt es, die Technologien könnten gegen kritische Informationsinfrastrukturen, Systeme der Verteidigungsindustrie und zentrale Regierungssysteme eingesetzt werden oder dazu dienen, Sicherheitsvorkehrungen zu umgehen. Das Ministerium bezeichnet die Überarbeitung als reguläre Verwaltung des Technologiehandels, die sich gegen kein bestimmtes Land, keine bestimmte Region und keine bestimmte Organisation richte.

Registrierung beginnt vor Inkrafttreten der endgültigen Regeln

Die vorgeschlagenen Änderungen am chinesischen Katalog werden noch beraten. Die vorübergehenden Registrierungspflichten traten jedoch mit der Veröffentlichung der Bekanntmachung vom 16. Oktober in Kraft. Bis zum Inkrafttreten des überarbeiteten Katalogs müssen Exporteure betroffene Technologietransfers vor dem Export registrieren. Auch bereits laufende, aber noch nicht abgeschlossene Transfers fallen darunter.

Die Bekanntmachung nennt mehrere erfasste Vorgänge: die Übertragung von Technologieeigentum ins Ausland, die Lizenzierung inländischer Technologie zur Nutzung im Ausland und Änderungen, durch die Eigentum oder tatsächliche Kontrolle über eine inländische Technologie in ausländische Hände gelangen.

Die Registrierung erfolgt über den Antrag für Technologiehandel auf der einheitlichen Geschäftsplattform des Handelsministeriums. Exporteure müssen Angaben zum Exporteur und Empfänger, zum Zielland oder zur Zielregion, zur Technologie, zum vorgesehenen Verwendungszweck und zum geschätzten Exportwert machen.

Das Ministerium unterscheidet außerdem zwischen der Übertragung von Technologie und dem Zugang zu einem Dienst. Nach seiner Erläuterung der vorgeschlagenen Regeln würde der Einsatz beschränkter KI-Technologie im Ausland unter die Exportverwaltung fallen. Bestimmte Vereinbarungen, etwa der Einsatz in der eigenen Cloud eines Unternehmens im Ausland, könnten für automatische Lizenzverfahren infrage kommen.

Der Zugang zu Modellen über eine API, eine App, eine Website oder Software-as-a-Service falle nicht unter die in der Erläuterung beschriebene Exportkategorie für Technologie großer Modelle. Auch die leichte Bereitstellung auf lokalen Geräten wird außerhalb dieser Kategorie eingeordnet. Über eine API kann ein Computerprogramm bei einem anderen Dienst anfragen. So können Kunden ein Modell nutzen, ohne dessen zugrunde liegende Dateien zu erhalten.

Für offene Veröffentlichungen gelten eigene Regeln

Chinas Bekanntmachung nimmt Technologien aus, die durch Open-Source-Veröffentlichungen oder wissenschaftliche Arbeiten bereits öffentlich zugänglich sind. Das Ministerium beschreibt außerdem automatische Lizenzverfahren und andere vereinfachte Abläufe für bestimmte Exporte von KI-Technologien, die offene Veröffentlichungen, Forschungszusammenarbeit mit dem Ausland und damit verbundene Aktivitäten betreffen.

Veröffentlichung und Transfer sind neben den technischen Fähigkeiten also ebenfalls entscheidend. Ein Unternehmen mit einem gehosteten Modell, ein Unternehmen, das beschränkte Technologie zur Bereitstellung im Ausland überträgt, und ein Entwickler, der bereits öffentlich zugängliche Technologie verbreitet, können nach dem beschriebenen Regelwerk unterschiedlich behandelt werden.

Moonshots geplante Veröffentlichung der Modellgewichte macht diese Unterschiede für die internationale Verbreitung relevant. Die Regierung hat in diesen Dokumenten keine öffentliche Einstufung von K3.1 Pro vorgenommen; auch das Datum, an dem der endgültige Katalog in Kraft tritt, wurde nicht genannt.

Die nächsten Termine rücken Veröffentlichungsplan und politische Beratungen eng zusammen:

• 16. Juli 2026: Kimi K3 wurde veröffentlicht; die Veröffentlichung der Modellgewichte war für den 27. Juli geplant.
• 16. Oktober: China veröffentlichte die Bekanntmachung Nr. 48, eröffnete die Konsultation und führte die vorübergehende Exportregistrierung ein.
• 23. Oktober: Moonshot veröffentlichte K3.1 Pro.
• 24. Oktober: Moonshot erläuterte die Einschränkung der offensiven Cyber-Fähigkeiten.
• 4. November: Moonshot plant, die Modellgewichte von K3.1 Pro veröffentlicht zu haben.
• 15. November: Die Frist für Stellungnahmen zu den vorgeschlagenen Änderungen des Exportkatalogs endet.

Mehr Leistung zu geringeren Zugangskosten

Der breitere Start von K3.1 Pro erklärt, warum seine Cyber-Fähigkeiten auch über die spezialisierte Sicherheitsarbeit hinaus von Bedeutung sind. Das Modell verfügt über insgesamt 2,8 Billionen Parameter, von denen 104 Milliarden aktiv sind. Damit gehört es laut Moonshot zur Klasse der Modelle mit rund drei Billionen Parametern. Parameter sind die Zahlenwerte, die ein Modell während des Trainings lernt.

Das Modell hat ein Kontextfenster von einer Million Tokens und verarbeitet Text und Bilder. Tokens sind Informationseinheiten, die vom System verarbeitet werden. Ein größeres Kontextfenster ermöglicht es, in einer einzelnen Aufgabe mehr Material zu bearbeiten. Moonshot bietet außerdem K3.1 Pro Highspeed an, das laut Unternehmen zwei- bis dreimal schneller läuft.

Die Preise der Standard-API sanken um ein Drittel: von 3 auf 2 US-Dollar pro Million Eingabe-Tokens und von 15 auf 10 US-Dollar pro Million Ausgabe-Tokens. Für zwischengespeicherte Eingaben, bei denen bereits verarbeitetes Material erneut verwendet wird, sank der Preis von 0,30 auf 0,20 US-Dollar pro Million Tokens. Highspeed kostet 4 US-Dollar für Eingaben und 20 US-Dollar für Ausgaben pro Million Tokens.

Im Intelligence Index von Artificial Analysis belegte K3.1 Pro mit 55 Punkten den vierten Platz. Das sind elf Punkte mehr als bei K3 und drei weniger als bei Claude Opus 5.5 mit 58 Punkten. In Moonshots Vergleich beim Programmieren über ein Terminal erzielte K3.1 Pro 65,7 % und lag damit nahe an den 66,4 % von Opus 5.5. Bei wissenschaftlichen Aufgaben im Terminal kam K3.1 Pro laut Moonshot dagegen auf 38,1 Punkte und lag damit hinter GPT-6 Astra mit 68,1 und Opus 5.5 mit 63,3.

Moonshot veröffentlichte zudem unterschiedliche Fehlerwerte für verschiedene Tests. Im Veröffentlichungsblog gab das Unternehmen den Anteil erfundener oder falscher Aussagen mit 8,3 % an, gegenüber 23,4 % bei K3. Die Kurzanleitung zur API nannte 6,85 % gegenüber 23,35 %, basierend auf einem anderen Satz von Konversationen. Beide Dokumente beschreiben spezialisierte Tests; Kunden müssen Antworten bei ihrer eigenen Arbeit weiterhin überprüfen.

Für Entwickler und Sicherheitsteams bedeutet die unmittelbare Änderung den Zugang zu besseren Programmier- und Automatisierungsfähigkeiten bei niedrigeren Token-Preisen. Mit der Veröffentlichung der Modellgewichte würden mehr Entscheidungen über Bereitstellung, Veränderungen und Schutzmaßnahmen auf die Organisationen übergehen, die sie herunterladen.

Wichtige Punkte

• Moonshot zufolge sank die Punktzahl von K3.1 Pro in einem internen Exploit-Test durch das Entfernen von Cyber-Trainingsmaterial von 90,5 % auf 81,0 %.
• Im selben Test lag das gefilterte Modell weiterhin deutlich über Kimi K3 mit 33,3 %.
• Der interne Benchmark wurde nicht veröffentlicht, und die neuen Ergebnisse wurden nicht unabhängig überprüft.
• Frühere Tests aus Großbritannien und den USA ergaben, dass K3 einen simulierten Angriff auf ein Unternehmensnetzwerk bei einem von zehn Versuchen abschließen konnte.
• China schlägt vor, Exporte von KI-Technologie für Schadsoftware zu verbieten und Exporte von KI-Technologie zur Suche nach Schwachstellen zu beschränken.
• Die vorübergehende Exportregistrierung begann am 16. Oktober. Die öffentliche Konsultation endet am 15. November.
• Moonshot plant, die Modellgewichte von K3.1 Pro bis zum 4. November zu veröffentlichen. Externe Entwickler erhalten dadurch mehr Kontrolle über die Nutzung des Modells.