Moonshot reduz habilidades de invasão do Kimi K3.1 Pro antes do lançamento aberto e das regras de exportação da China

Uma pontuação menor em invasões, mas um modelo mais poderoso

A startup Moonshot AI, de Pequim, afirma ter reduzido as capacidades de invasão ofensiva do Kimi K3.1 Pro antes da publicação prevista dos arquivos do modelo, até 4 de novembro de 2026. As mudanças reduziram sua pontuação em um teste interno de exploração de software de 90,5% para 81,0%, embora o modelo resultante ainda tenha ficado muito acima dos 33,3% de seu antecessor.

A Moonshot lançou o K3.1 Pro em 23 de outubro e detalhou as restrições em um comunicado no dia 24. A estratégia é remover materiais usados para ensinar certas habilidades cibernéticas, mantendo as capacidades gerais de programação que tornam o modelo útil para desenvolver e corrigir software.

O anúncio foi feito oito dias depois que o Ministério do Comércio e o Ministério da Ciência e Tecnologia da China propuseram novos controles de exportação de tecnologia. As propostas proibiriam a exportação de tecnologias para gerar e modificar códigos maliciosos com IA, além de restringir tecnologias que usam IA para encontrar vulnerabilidades de software.

O lançamento da Moonshot reúne essas duas questões: quanta capacidade de invasão um modelo amplamente disponível para download deve ter e como os governos devem regulamentar tecnologias que podem ajudar tanto quem protege quanto quem ataca sistemas de software.

Ao explicar os limites que pretende adotar para o lançamento, a Moonshot afirmou:

Nosso objetivo é não disponibilizar pesos abertos que ampliem a fronteira absoluta das capacidades cibernéticas.

Os pesos da empresa são os arquivos que contêm o que o modelo aprendeu. Publicá-los permite que desenvolvedores externos executem e modifiquem o sistema em seus próprios computadores. Isso dá mais controle aos usuários, mas reduz a capacidade da Moonshot de controlar o acesso ou alterar as proteções depois que as cópias se espalham.

O que a Moonshot removeu

A Moonshot afirma que materiais cibernéticos entraram no desenvolvimento do modelo por duas vias: um conjunto geral de treinamento usado em uma etapa intermediária e tarefas cibernéticas incluídas em ambientes de aprendizado por reforço. O aprendizado por reforço aprimora um modelo por meio de tentativas repetidas em tarefas e do retorno sobre seu desempenho.

A empresa removeu materiais cibernéticos das duas etapas, mas manteve tarefas gerais de programação. Seu teste interno, chamado xdev-bench-hard, mede se um modelo consegue reproduzir vulnerabilidades de software divulgadas recentemente e desenvolver maneiras de explorá-las, considerando como sucesso a conclusão em até três tentativas.

O teste inclui vulnerabilidades em softwares como o kernel do Linux, o Node.js e o JavaScriptCore. Esses são componentes usados para executar sistemas operacionais, aplicativos de servidor e código JavaScript. Uma exploração é um método para transformar uma falha de software em uma ação, como obter acesso ou fazer um programa se comportar de maneira não prevista.

A pontuação do K3.1 Pro caiu 9,5 pontos percentuais após a filtragem, de 90,5% para 81,0%. O DeepSeek V4.1-Flash marcou 85,7% na mesma comparação interna, deixando o modelo Kimi filtrado abaixo desse concorrente.

O Kimi K3, seu antecessor, marcou 33,3%. Portanto, o sucessor filtrado manteve uma vantagem de 47,7 pontos percentuais, mostrando o quanto sua capacidade de lidar com essas tarefas havia avançado mesmo após os cortes direcionados.

Por que a programação geral ainda importa para invasões

A Moonshot atribui parte da capacidade cibernética restante às melhorias em programação geral e depuração ao longo de sequências extensas de trabalho. Um modelo capaz de inspecionar código, acompanhar uma falha por vários arquivos e testar possíveis correções também pode aplicar essas habilidades para encontrar e explorar vulnerabilidades.

O blog de lançamento da empresa explicou essa relação da seguinte forma:

melhora substancialmente em relação ao antecessor, indicando que capacidades mais avançadas de programação geral e depuração em tarefas longas também se aplicam a tarefas cibernéticas, mesmo após a remoção direcionada de dados.

Quem defende sistemas de software pode usar essas capacidades para inspecionar sistemas antigos que recebem pouca atenção, um benefício citado pela Moonshot em defesa dos pesos abertos. Uma organização poderia executar o modelo localmente e examinar os softwares que é responsável por manter.

Quem ataca sistemas pode usar capacidades semelhantes para buscar vulnerabilidades e automatizar partes de uma invasão. Portanto, a questão prática vai além de saber se um modelo foi exposto a exemplos explicitamente maliciosos: habilidades úteis de programação podem ser aplicadas a atividades ofensivas.

O teste xdev-bench-hard da Moonshot não foi publicado, e seus resultados não foram verificados de forma independente. A empresa também não explicou se um treinamento adicional por desenvolvedores externos poderia recuperar a capacidade removida antes do lançamento. Essas são questões centrais para avaliar um modelo cujos arquivos poderão ser modificados pelos usuários.

O que os testes governamentais identificaram no Kimi K3

O Instituto de Segurança de Inteligência Artificial do Reino Unido e o Centro de Padrões e Inovação em IA dos Estados Unidos examinaram anteriormente o Kimi K3, lançado em 16 de julho de 2026, com publicação dos pesos prevista para 27 de julho. A avaliação conjunta de capacidades cibernéticas oferece uma referência independente para o antecessor.

O K3 marcou 32% no ExploitBench, contra 24% do GLM-5.2. Esse benchmark, desenvolvido pela Universidade Carnegie Mellon, avalia o progresso na exploração de 41 vulnerabilidades no V8, o mecanismo de software que executa JavaScript e WebAssembly no Chrome.

O K3 não conseguiu executar código arbitrário em nenhuma das 41 amostras. Os modelos líderes obtiveram esse resultado, em média, em 20 amostras. Executar código arbitrário significa fazer um sistema-alvo executar comandos escolhidos por um invasor, um resultado particularmente grave porque pode dar a ele o controle do sistema.

Os institutos também testaram o K3 no The Last Ones, uma rede corporativa simulada com aproximadamente 20 computadores distribuídos por quatro segmentos de rede. O exercício tem uma sequência de 32 etapas de ataque e levaria cerca de 20 horas para ser concluído por um especialista humano.

Com um limite de 100 milhões de tokens, o K3 chegou, em média, à etapa 17, contra a etapa 11 do GLM-5.2 e a 28,5 dos principais modelos dos EUA. O K3 concluiu todo o exercício em uma de 10 tentativas. Os modelos mais capazes o concluíram em seis ou sete tentativas de cada 10.

Como interpretar os limites dos testes

Os institutos britânico e americano afirmaram que as proteções do K3 permitiram que ele tentasse desenvolver explorações e realizar operações cibernéticas ofensivas durante as avaliações. Os resultados colocam o K3 acima de um modelo anterior líder com pesos abertos, mas abaixo dos modelos mais fortes que testaram.

O exercício The Last Ones começava com acesso inicial à rede. Havia uma rota de ataque intencional, não existiam defensores ativos nem ferramentas defensivas, e comportamentos que acionariam alertas de segurança não eram penalizados. Essas condições ofereceram ao modelo um ambiente estruturado para conduzir um ataque.

Os institutos descreveram as avaliações como preliminares e seletivas. A estimativa agregada de capacidade do K3 foi calculada a partir de um único benchmark, o que gera mais incerteza estatística do que estimativas de modelos avaliados em um conjunto mais amplo de tarefas.

Modelos americanos com pesos fechados foram testados com as proteções do sistema desativadas para que os avaliadores pudessem medir suas capacidades máximas com menos recusas. Essas proteções estão ativadas nas versões públicas. Portanto, ao comparar os resultados, é preciso considerar tanto as habilidades inerentes do modelo quanto os controles associados ao serviço usado para acessá-lo.

O novo resultado de 81,0% do K3.1 Pro vem de um teste interno diferente, desenvolvido pela Moonshot. A comparação com o K3 é mais útil dentro desse mesmo teste, no qual o antecessor marcou 33,3%. Uma avaliação independente do novo lançamento daria às equipes de segurança uma base mais sólida para julgar suas capacidades.

China propõe proibições e restrições

Os dois ministérios da China publicaram o Anúncio nº 48 em 16 de outubro de 2026. O comunicado solicita comentários sobre revisões ao Catálogo de Tecnologias Proibidas e Restritas para Exportação, com prazo para envio até 15 de novembro.

As inclusões propostas abrangem 40 tecnologias: 23 de IA, cinco de biomedicina e 12 de fabricação de energia solar. Nos três setores, 14 tecnologias seriam proibidas para exportação e 26 estariam sujeitas a restrições.

As categorias de IA incluem modelos de grande porte, agentes, clusters de computação e processamento de informações. Agentes são sistemas que usam ferramentas e executam uma sequência de ações para alcançar um objetivo, em vez de simplesmente responder a uma única pergunta.

A tecnologia de IA para gerar e modificar códigos maliciosos está entre as exportações cuja proibição foi proposta. A tecnologia de IA para encontrar vulnerabilidades está entre as exportações cuja restrição foi proposta. A diferença é importante: a proibição impediria as exportações abrangidas, enquanto as restrições sujeitariam as transferências correspondentes a controles de exportação.

A explicação sobre a política do Ministério do Comércio afirma que as tecnologias poderiam ser usadas contra infraestruturas críticas de informação, sistemas da indústria de defesa e sistemas centrais do governo, ou para contornar proteções de segurança. O ministério descreve a revisão como uma medida rotineira de gestão do comércio de tecnologia, sem visar a nenhum país, região ou entidade em particular.

Cadastro começa antes das regras definitivas

As mudanças propostas no catálogo da China ainda estão em consulta, mas os requisitos temporários de cadastro entraram em vigor com a publicação do anúncio de 16 de outubro. Os exportadores precisam cadastrar as transferências de tecnologia abrangidas antes da exportação, até que o catálogo revisado entre em vigor. Transferências já iniciadas, mas ainda não concluídas, também estão incluídas.

O comunicado identifica vários tipos de operação abrangidos: transferir a propriedade de uma tecnologia para o exterior, licenciar tecnologia nacional para uso fora do país e realizar mudanças que coloquem a propriedade ou o controle efetivo de uma tecnologia nacional em mãos estrangeiras.

O cadastro é feito pela plataforma unificada de negócios do Ministério do Comércio, na área de solicitações de comércio de tecnologia. Os exportadores devem fornecer informações como exportador e destinatário, país ou região de destino, tecnologia, finalidade prevista e valor estimado da exportação.

O ministério também diferencia a transferência de tecnologia da oferta de acesso a um serviço. Segundo sua explicação das regras propostas, implantar localmente no exterior uma tecnologia de IA sujeita a restrições entraria na gestão de exportações. Algumas modalidades, como a implantação na própria nuvem da empresa no exterior, poderiam se qualificar para procedimentos de licenciamento automático.

Oferecer acesso a modelos por meio de uma API, de um aplicativo, de um site ou de software como serviço ficaria fora da categoria de exportação de tecnologia de modelos de grande porte descrita na explicação. A implantação simplificada em dispositivos locais também está fora dessa categoria. Uma API permite que um programa de computador solicite um serviço a outro, permitindo que clientes usem um modelo sem receber seus arquivos subjacentes.

Lançamentos abertos têm tratamento próprio

O anúncio da China exclui tecnologias que já estejam em domínio público por meio de lançamentos de código aberto ou artigos acadêmicos. O ministério também descreve procedimentos de licenciamento automático e outras modalidades simplificadas para certas exportações de tecnologias de IA que envolvam lançamentos abertos, cooperação internacional em pesquisa e atividades relacionadas.

Por isso, a forma de publicação e transferência importa tanto quanto a capacidade técnica. Uma empresa que oferece um modelo hospedado, outra que transfere tecnologia sujeita a restrições para implantação no exterior e um desenvolvedor que distribui tecnologia já em domínio público podem receber tratamentos diferentes no âmbito das regras descritas.

O plano da Moonshot de publicar os pesos torna essas distinções relevantes para seu alcance internacional. Os documentos não trazem uma classificação pública do K3.1 Pro pelo governo, e a data de implementação do catálogo definitivo não foi informada.

As próximas datas aproximam o cronograma de lançamento do processo regulatório:

• 16 de julho de 2026: lançamento do Kimi K3, seguido pela publicação planejada dos pesos em 27 de julho.
• 16 de outubro: a China publicou o Anúncio nº 48, abriu a consulta e iniciou o cadastro temporário de exportações.
• 23 de outubro: a Moonshot lançou o K3.1 Pro.
• 24 de outubro: a Moonshot detalhou a redução das capacidades cibernéticas ofensivas.
• 4 de novembro: a Moonshot planeja ter publicado os pesos do K3.1 Pro.
• 15 de novembro: termina o prazo para comentários públicos sobre as revisões propostas ao catálogo de exportações.

Mais capacidade por um preço de acesso menor

O lançamento mais amplo do K3.1 Pro ajuda a explicar por que suas capacidades cibernéticas são relevantes além do trabalho especializado em segurança. O modelo tem 2,8 trilhões de parâmetros totais, dos quais 104 bilhões são ativos, colocando-o na classe de aproximadamente 3 trilhões de parâmetros descrita pela Moonshot. Parâmetros são os valores numéricos que um modelo aprende durante o treinamento.

O modelo tem uma janela de contexto de um milhão de tokens e aceita textos e imagens. Tokens são unidades de informação processadas pelo sistema; uma janela de contexto maior permite trabalhar com mais conteúdo em uma única tarefa. A Moonshot também oferece o K3.1 Pro Highspeed, que, segundo a empresa, funciona de duas a três vezes mais rápido.

Os preços da API padrão caíram de US$ 3 para US$ 2 por milhão de tokens de entrada e de US$ 15 para US$ 10 por milhão de tokens de saída, uma redução de um terço. O preço da entrada em cache, que reutiliza materiais processados anteriormente, caiu de US$ 0,30 para US$ 0,20 por milhão de tokens. O Highspeed custa US$ 4 por milhão de tokens de entrada e US$ 20 por milhão de tokens de saída.

O Intelligence Index da Artificial Analysis colocou o K3.1 Pro em quarto lugar, com 55 pontos, 11 a mais que o K3 e três a menos que o Claude Opus 5.5, com 58. Na comparação de programação em terminal da Moonshot, o K3.1 Pro marcou 65,7%, perto dos 66,4% do Opus 5.5. Em tarefas científicas no terminal, porém, a Moonshot atribuiu ao K3.1 Pro a pontuação de 38,1, abaixo dos 68,1 do GPT-6 Astra e dos 63,3 do Opus 5.5.

A Moonshot também publicou índices de erro diferentes para testes distintos. O blog de lançamento informou que a taxa de afirmações inventadas ou incorretas foi de 8,3%, abaixo dos 23,4% do K3; o guia de início rápido da API apresentou 6,85%, abaixo dos 23,35%, usando um conjunto diferente de conversas. Os dois documentos descrevem testes especializados, mas os clientes ainda precisam verificar as respostas no próprio trabalho.

Para desenvolvedores e equipes de segurança, a mudança imediata é o acesso a recursos mais avançados de programação e automação por preços menores por token. Para a Moonshot, publicar os pesos transferiria para as organizações que os baixarem mais decisões sobre implantação, modificação e proteções.

Principais pontos

• A Moonshot afirma que a remoção de materiais cibernéticos de treinamento reduziu a pontuação do K3.1 Pro em seu teste interno de exploração de 90,5% para 81,0%.
• O modelo filtrado ainda marcou bem acima dos 33,3% do Kimi K3 no mesmo teste.
• O benchmark interno não foi publicado, e os novos resultados não foram verificados de forma independente.
• Testes anteriores do Reino Unido e dos Estados Unidos indicaram que o K3 conseguia concluir um ataque simulado a uma rede corporativa em uma de 10 tentativas.
• A China propõe proibir exportações de tecnologias de IA para criar malware e restringir exportações de tecnologias de IA para descobrir vulnerabilidades.
• O cadastro temporário de exportações começou em 16 de outubro. A consulta pública termina em 15 de novembro.
• A Moonshot planeja publicar os pesos do K3.1 Pro até 4 de novembro, dando aos desenvolvedores externos mais controle sobre seu uso.