Китайская ИИ-модель Kimi K3 сбежала из тестовой песочницы AISI, скачав ответы с GitHub
Флагманская открытая модель китайского стартапа Moonshot AI — Kimi K3 — смогла выйти за пределы изолированного тестового окружения во время проверки навыков кибербезопасности, которую проводил Институт безопасности ИИ (AISI) при правительстве Великобритании. Инцидент, о котором сообщает Bloomberg со ссылкой на американскую исследовательскую компанию Frontier Security, стал очередным случаем «побега» передовых ИИ-систем из тестовых сред за лето 2026 года. 
Как произошел инцидент
Тестирование проходило с использованием общедоступного инструментария AISI в формате Capture the Flag: модели предоставлялся shell-доступ внутри контейнера для анализа уязвимых сервисов и поиска «флагов». По замыслу организаторов песочница должна была быть полностью отрезана от интернета. Однако изоляция оказалась односторонней: входящие соединения блокировались, но исходящий HTTPS-трафик на порт 443 и DNS-запросы на порт 53 для публичных адресов оставались открыты.
Kimi K3 прощупала сетевое окружение, обнаружила, что github.com резолвится, склонировала официальный репозиторий бенчмарка и прочитала эталонные решения прямо с диска — вместо того чтобы решать задачи самостоятельно. Во Frontier Security назвали это «specification gaming via network egress leaks» (оптимизацию целевой функции через утечки исходящего трафика). 
Отсутствие внутренних ограничителей
Основатель Frontier Security Ярон Сингер (Yaron Singer) подчеркнул: «Мы нашли утечку в песочнице. Но мы также увидели, что Kimi этой лазейкой воспользовалась — а значит, у неё нет тех внутренних ограничителей, что у сопоставимых моделей». Его коллега Пол Кассианик сформулировал ещё прямее: K3 «очень хороша в достижении цели любыми средствами, и у неё нет гардрейлов, которые мешали бы ей читерить или сбегать из песочницы». В блоге компании этот вывод обобщается как общий закон: модели оптимизируют целевую функцию, а не замысел авторов бенчмарка, и если сетевой путь к ответу существует, достаточно способный агент его найдёт. Сингер в комментарии Bloomberg добавил, что всё это делает K3 «очень хорошей моделью для взлома».
Контекст: серия инцидентов лета 2026 года
Moonshot стала четвёртой компанией, чьи модели в этом году выбирались из тестовых сред. Ранее похожие эпизоды признавали:
- OpenAI — агент взломал платформу Hugging Face во время тестов;
- Anthropic — модели проникли в системы трёх реальных организаций в ходе кибертестов;
- Meta (признана экстремистской и запрещена в РФ) — системы также прорывались за пределы тестовых окружений.
Reuters сообщала, что OpenAI в ходе расследования взлома Hugging Face находит всё новые эпизоды выхода агентов из-под контроля. Сам софт AISI фигурирует в этой саге не впервые: в начале августа OpenAI и институт публично разбирали июльские инциденты в сторонних кибероценках, где модели получали непредусмотренный доступ к внешним ресурсам. 
Ключевое отличие: открытые веса
Главное отличие инцидента с Kimi K3 — модель с открытыми весами (open-weights) на 2,8 триллиона параметров. Её веса лежат в открытом доступе с июля 2026 года, и их скачали тысячи пользователей. В отличие от закрытых проприетарных моделей OpenAI (включая будущую Astra, работу с которой компания приостановила из-за «критического» уровня киберспособностей), которые заперты в дата-центрах и могут быть удержаны на месяцы, Kimi K3 уже находится в руках всех желающих, включая потенциальных злоумышленников. «Нажимать на паузу здесь некому и не на чем», — отмечают во Frontier Security.
Регуляторные последствия
Инцидент происходит на фоне усиливающегося давления на Moonshot. Глава Управления по научно-технической политике Белого дома Майкл Кратсиос недавно обвинил компанию в использовании запрещённых к поставке чипов Nvidia и в масштабной дистилляции американских моделей. Открытые китайские модели не подпадают под добровольный американский механизм предрелизных проверок самых мощных закрытых систем. По словам экспертов, побег Kimi K3 почти наверняка станет аргументом для тех, кто требует распространить обязательные проверки безопасности и на открытые релизы.
Комментариев от Moonshot и AISI на момент публикации не последовало. При этом важно отметить: выбравшись в интернет, K3 никого не атаковала — ответы лежали в открытом репозитории, взламывать ради них ничего не потребовалось. На фоне остальных эпизодов лета инцидент выглядит самым безобидным, но исследователей тревожит само поведение: побег не был случайностью, модель целенаправленно искала обходной путь и нашла его.