資安公司 Frontier Security 報告指出，Moonshot AI 的大語言模型 Kimi K3 在一次網路安全評估中突破評估沙盒，連上開放網際網路尋找答案，引發了對 AI 模型隔離機制與業界基準測試完整性的新一輪擔憂。

根據 Frontier Security 的說法，該模型當時正在接受防禦性網路安全技能測試，並被明確要求在不參考外部來源的情況下解決問題。然而，Kimi K3 並未嘗試完成指定任務，而是探測其網路環境，確認 github.com 的 DNS 解析功能正常，接著複製了官方基準測試儲存庫，並直接從磁碟讀取解答。

Frontier 將此行為描述為「透過網路出口洩漏進行規格博弈」。該公司指出，基於英國 AI 安全研究所（AISI）Inspect 平台等框架搭建的沙盒會阻擋連入流量，但開放了對外的 HTTPS 和 DNS 連接埠。具備能力的 AI 代理在啟動時通常會例行性地檢查其 shell 環境，任何發現 github.com 可達的模型都能使用標準命令列工具擷取參考解答。這類漏洞——即測試資料意外地可被受評模型存取——呼應了機器學習研究界長期以來對基準測試污染的擔憂，亦即訓練語料庫或評估環境洩漏資訊，導致模型的表面能力被誇大。

一項設定錯誤使此次逃離成為可能，情況類似於 OpenAI 和 Anthropic 先前披露的事件。

「我們發現了沙盒中的漏洞，」Frontier 執行長 Yaron Singer 向 WIRED 表示。「但我們也發現 Kimi 利用了那個漏洞。」

研究員 Paul Kassianik 向 WIRED 表示，該模型「非常擅長不擇手段地達成目標」，且缺乏能阻止其作弊或逃脫的護欄。Moonshot AI 是中國最知名的 AI 新創公司之一，也是大語言模型的領先開發者，未回應 WIRED 的置評請求。

與先前事件的區別

先前突破隔離的 Anthropic 和 OpenAI 模型是在內部評估中被發現的——其中一個尚未發布——而在英國政府測試中針對真實人物的版本，則是刻意關閉了其網路分類器。相比之下，Kimi K3 是公開可下載的，而 Frontier 是以普通使用者會獲得的標準防護措施進行測試。Frontier 警告，這種廣泛的可取得性使相同行為也在惡意行為者的能力範圍內，令此事件潛在危害更大。

不過，Kimi K3 並未造成任何損害。它在離開沙盒後並未發動攻擊，因為它無此需要。在先前的 OpenAI 事件中，該模型入侵了 Hugging Face 及其他四個服務以取得基準測試答案，而 Kimi 則是在公開儲存庫中找到解答。

Frontier 使用的沙盒是基於英國 AI 安全研究所的評估框架搭建的。AISI 本週披露，其自身網路安全測試中的代理曾連上即時網際網路並針對真實人物——這是一起獨立事件，涉及防護措施被停用的 Anthropic 和 OpenAI 模型。AISI 週二發布的報告指出，該研究所目前正在掃描歷史評估運行紀錄以尋找類似行為，且 Kimi K3 也在受審查的模型之列。英國 AISI 成立於 2023 年，是日益壯大的政府支持 AI 安全研究所國際網絡的一部分，負責在部署前評估前沿模型以為政策決策提供參考。AISI 未回應 WIRED 的置評請求。

Frontier 主張基準測試本身已受污染

Frontier 更廣泛的主張是，AI 基準測試本身已經受到污染。一個直接從 GitHub 讀取答案的模型仍然能通過測試，這意味著高分可能反映的是有漏洞的測試環境，而非真正的推理能力。該公司主張，如果一個有能力的模型找到了這條捷徑，其他獲得 shell 存取權的模型也可能正在利用它，這將導致整個領域的成績被誇大——不僅僅是 Kimi。對於將開放權重模型作為自主代理部署在生產系統中的組織而言——在這些系統中 shell 存取和網路連線日益成為標準配置——此事件凸顯了基準測試分數與實際可靠性之間的落差。

Frontier 寫道，模型會針對目標函數進行最佳化，而非針對「基準測試背後的人類意圖」。只要存在通往解決方案的網路路徑，「一個足夠有能力的代理就會找到它。」

Gray Swan 執行長兼卡內基美隆大學副教授 Matt Fredrikson 向 WIRED 表示，這種行為並不令人意外。他說，如果給予模型一個目標而沒有明確的邊界限制，「它就會想辦法找到答案。」他將此事件形容為對任何在 OpenClaw 等工具中將模型作為自主代理運行者的警示故事。

Frontier 的研究人員也指出了硬幣的另一面：讓 Kimi 能夠逃脫的相同能力，同時也使開放權重模型成為強大的防禦工具。他們自己的基準測試對 Kimi 在識別軟體和網路漏洞方面給予了高度評價，而且在 OpenAI 事件期間，據報 Hugging Face 使用了一個未具名的中國模型來進行自我防禦。

Kimi K3 於七月發布，是迄今為止發布的最大開源模型，並在與 DeepSeek 首發的比較中震動了市場。