Moonshot giảm khả năng tấn công mạng của Kimi K3.1 Pro trước khi phát hành trọng số mở và quy định xuất khẩu mới của Trung Quốc

Điểm kiểm tra tấn công mạng thấp hơn, nhưng mô hình mạnh hơn

Moonshot AI, startup tại Bắc Kinh, cho biết đã giảm khả năng tấn công mạng của Kimi K3.1 Pro trước khi dự kiến phát hành các tệp mô hình vào ngày 4 tháng 11 năm 2026. Những thay đổi này khiến điểm của mô hình trong bài kiểm tra khai thác phần mềm nội bộ giảm từ 90,5% xuống 81,0%, dù kết quả vẫn cao hơn nhiều so với mức 33,3% của phiên bản tiền nhiệm.

Moonshot phát hành K3.1 Pro ngày 23 tháng 10 và nêu các biện pháp hạn chế trong thông báo ngày 24 tháng 10. Công ty loại bỏ tài liệu dùng để huấn luyện một số kỹ năng mạng nhất định, đồng thời giữ lại năng lực lập trình tổng quát giúp mô hình hữu ích trong việc phát triển và sửa chữa phần mềm.

Thông báo được đưa ra tám ngày sau khi Bộ Thương mại và Bộ Khoa học và Công nghệ Trung Quốc đề xuất các biện pháp kiểm soát xuất khẩu công nghệ mới. Những đề xuất này sẽ cấm xuất khẩu công nghệ dùng AI để tạo và chỉnh sửa mã độc, đồng thời hạn chế công nghệ sử dụng AI để phát hiện lỗ hổng phần mềm.

Việc phát hành của Moonshot đặt hai vấn đề này cạnh nhau: một mô hình có thể được tải về rộng rãi nên có năng lực tấn công mạng đến mức nào, và chính phủ nên quản lý ra sao công nghệ có thể hỗ trợ cả người bảo vệ lẫn kẻ tấn công phần mềm.

Giải thích ranh giới mà công ty dự định áp dụng cho đợt phát hành, Moonshot cho biết:

Chúng tôi không hướng tới việc phát hành trọng số mở có thể đẩy giới hạn tuyệt đối của năng lực mạng lên cao hơn.

Trọng số của công ty là các tệp chứa những gì mô hình đã học. Việc công bố chúng cho phép các nhà phát triển bên ngoài chạy và chỉnh sửa hệ thống trên máy tính của riêng họ. Điều đó đem lại cho người dùng nhiều quyền kiểm soát hơn, nhưng cũng khiến Moonshot ít khả năng quản lý quyền truy cập hoặc thay đổi biện pháp bảo vệ hơn sau khi các bản sao được phát tán.

Moonshot đã loại bỏ những gì

Moonshot cho biết tài liệu về an ninh mạng đã đi vào quá trình phát triển mô hình qua hai con đường: bộ dữ liệu huấn luyện tổng quát được dùng trong một giai đoạn huấn luyện trung gian, và các tác vụ mạng trong môi trường học tăng cường. Học tăng cường cải thiện mô hình thông qua việc liên tục thử thực hiện nhiệm vụ và nhận phản hồi về kết quả.

Công ty đã loại bỏ tài liệu về an ninh mạng khỏi cả hai giai đoạn, nhưng giữ lại các tác vụ lập trình tổng quát. Bài kiểm tra nội bộ có tên xdev-bench-hard đo lường khả năng tái tạo các lỗ hổng phần mềm mới được công bố và phát triển cách khai thác chúng; thành công được tính nếu mô hình hoàn thành trong tối đa ba lần thử.

Bài kiểm tra gồm các lỗ hổng trong những phần mềm như nhân Linux, Node.js và JavaScriptCore. Đây là các thành phần được dùng để vận hành hệ điều hành, ứng dụng máy chủ và mã JavaScript. Khai thác là cách biến điểm yếu của phần mềm thành một hành động, chẳng hạn như giành quyền truy cập hoặc khiến chương trình hoạt động ngoài dự kiến.

Điểm K3.1 Pro giảm 9,5 điểm phần trăm sau khi lọc, từ 90,5% xuống 81,0%. DeepSeek V4.1-Flash đạt 85,7% trong cùng phép so sánh nội bộ, khiến mô hình Kimi sau khi lọc xếp dưới đối thủ này.

Kimi K3, phiên bản tiền nhiệm, đạt 33,3%. Vì vậy, phiên bản kế nhiệm sau khi lọc vẫn giữ lợi thế 47,7 điểm phần trăm, cho thấy năng lực xử lý các tác vụ này đã tiến xa đến mức nào ngay cả sau khi bị cắt giảm có mục tiêu.

Vì sao lập trình tổng quát vẫn quan trọng với tấn công mạng

Moonshot cho rằng năng lực mạng còn lại một phần đến từ những cải thiện về lập trình tổng quát và gỡ lỗi trong các chuỗi công việc kéo dài. Một mô hình có thể kiểm tra mã, lần theo lỗi qua nhiều tệp và thử các phương án sửa chữa cũng có thể vận dụng những kỹ năng đó để tìm và khai thác điểm yếu.

Bài viết trên blog về đợt phát hành của công ty giải thích mối liên hệ này như sau:

cải thiện đáng kể so với phiên bản tiền nhiệm, cho thấy năng lực lập trình tổng quát và gỡ lỗi trong các tác vụ kéo dài mạnh hơn có thể chuyển sang các tác vụ mạng ngay cả sau khi dữ liệu được loại bỏ có mục tiêu.

Người bảo vệ phần mềm có thể dùng những năng lực này để kiểm tra các hệ thống cũ ít được chú ý, lợi ích mà Moonshot viện dẫn để ủng hộ việc phát hành trọng số mở. Một tổ chức có thể chạy mô hình tại chỗ và kiểm tra phần mềm mà mình chịu trách nhiệm bảo trì.

Kẻ tấn công có thể dùng năng lực tương tự để tìm điểm yếu và tự động hóa một số khâu trong cuộc xâm nhập. Vì vậy, vấn đề thực tế rộng hơn câu hỏi liệu mô hình có từng tiếp xúc với các ví dụ độc hại rõ ràng hay không: những kỹ năng lập trình hữu ích có thể chuyển sang hoạt động tấn công.

Bài kiểm tra xdev-bench-hard của Moonshot chưa được công bố và kết quả chưa được xác minh độc lập. Công ty cũng chưa giải thích liệu việc huấn luyện thêm của các nhà phát triển bên ngoài có thể khôi phục năng lực đã bị loại bỏ trước khi phát hành hay không. Đây là những câu hỏi then chốt khi đánh giá một mô hình có các tệp mà người dùng có thể chỉnh sửa.

Kiểm định của chính phủ về Kimi K3

Viện An ninh Trí tuệ Nhân tạo Anh và Trung tâm Tiêu chuẩn và Đổi mới AI Mỹ trước đây đã đánh giá Kimi K3, được phát hành ngày 16 tháng 7 năm 2026, với kế hoạch phát hành trọng số mở vào ngày 27 tháng 7. Đánh giá chung về năng lực mạng của hai cơ quan này cung cấp điểm tham chiếu độc lập cho phiên bản tiền nhiệm.

K3 đạt 32% trên ExploitBench, so với 24% của GLM-5.2. Bài đánh giá chuẩn này do Đại học Carnegie Mellon phát triển, kiểm tra tiến độ khai thác 41 lỗ hổng trong V8, bộ máy phần mềm chạy JavaScript và WebAssembly trong Chrome.

K3 không thực thi được mã tùy ý trên bất kỳ mẫu nào trong số 41 mẫu. Các mô hình hàng đầu đạt kết quả đó trên trung bình 20 mẫu. Thực thi mã tùy ý nghĩa là khiến hệ thống mục tiêu chạy các lệnh do kẻ tấn công lựa chọn; đây là kết quả đặc biệt nghiêm trọng vì có thể giúp kẻ tấn công giành quyền kiểm soát.

Các viện cũng kiểm tra K3 trên The Last Ones, một mạng doanh nghiệp mô phỏng gồm khoảng 20 máy tính thuộc bốn phân đoạn mạng. Bài tập có chuỗi 32 bước tấn công và sẽ mất khoảng 20 giờ để một chuyên gia thực hiện.

Trong giới hạn 100 triệu token, K3 đạt trung bình đến bước 17, so với bước 11 của GLM-5.2 và 28,5 của các mô hình hàng đầu Mỹ. K3 hoàn thành toàn bộ bài tập trong một trên 10 lần thử. Các mô hình mạnh nhất hoàn thành trong sáu hoặc bảy trên 10 lần thử.

Cách hiểu những giới hạn của bài kiểm tra

Các viện của Anh và Mỹ cho biết biện pháp bảo vệ của K3 cho phép mô hình thử phát triển cách khai thác và thực hiện hoạt động mạng tấn công trong các đợt đánh giá. Kết quả cho thấy K3 vượt một mô hình trọng số mở hàng đầu trước đó, nhưng kém các mô hình mạnh nhất mà họ kiểm tra.

Bài tập The Last Ones bắt đầu khi đã có quyền truy cập ban đầu vào mạng. Bài tập có sẵn một lộ trình tấn công được thiết kế có chủ đích, không có người phòng thủ hoặc công cụ phòng thủ hoạt động và không áp dụng hình phạt cho hành vi có thể kích hoạt cảnh báo bảo mật. Những điều kiện này tạo cho mô hình một môi trường có cấu trúc để triển khai cuộc tấn công.

Các viện mô tả những đợt đánh giá là sơ bộ và có chọn lọc. Ước tính năng lực tổng thể của K3 dựa trên một bài đánh giá chuẩn, dẫn đến mức độ bất định thống kê cao hơn so với các ước tính của những mô hình được đánh giá trên phạm vi nhiệm vụ rộng hơn.

Các mô hình Mỹ có trọng số đóng được kiểm tra khi tắt biện pháp bảo vệ hệ thống để người đánh giá đo năng lực tối đa với ít trường hợp từ chối hơn. Các phiên bản công khai có bật những biện pháp bảo vệ này. Vì vậy, khi so sánh kết quả, độc giả cần xét cả kỹ năng nền tảng của mô hình lẫn các biện pháp kiểm soát gắn với dịch vụ dùng để truy cập mô hình.

Kết quả mới 81,0% của K3.1 Pro đến từ bài kiểm tra nội bộ khác của Moonshot. So sánh với K3 hữu ích nhất trong cùng bài kiểm tra đó, nơi phiên bản tiền nhiệm đạt 33,3%. Một đánh giá độc lập về phiên bản mới sẽ giúp các nhóm an ninh có cơ sở vững chắc hơn để nhận định năng lực của mô hình.

Trung Quốc đề xuất lệnh cấm và hạn chế

Hai bộ của Trung Quốc ban hành Thông báo số 48 ngày 16 tháng 10 năm 2026. Thông báo lấy ý kiến về việc sửa đổi Danh mục Công nghệ Cấm và Hạn chế Xuất khẩu; thời hạn gửi ý kiến kéo dài đến ngày 15 tháng 11.

Các nội dung bổ sung được đề xuất bao gồm 40 công nghệ: 23 thuộc lĩnh vực AI, năm thuộc công nghệ y sinh và 12 thuộc sản xuất năng lượng mặt trời. Trong cả ba lĩnh vực, 14 công nghệ sẽ bị cấm xuất khẩu và 26 công nghệ sẽ bị hạn chế.

Các nhóm công nghệ AI bao gồm mô hình lớn, tác nhân, cụm máy tính và xử lý thông tin. Tác nhân là các hệ thống sử dụng công cụ và thực hiện một chuỗi hành động để đạt mục tiêu, thay vì chỉ trả lời một câu hỏi đơn lẻ.

Công nghệ AI dùng để tạo và chỉnh sửa mã độc nằm trong nhóm hàng xuất khẩu bị đề xuất cấm. Công nghệ AI dùng để tìm lỗ hổng nằm trong nhóm hàng xuất khẩu bị đề xuất hạn chế. Sự khác biệt này rất quan trọng: lệnh cấm sẽ ngăn xuất khẩu các mặt hàng thuộc diện áp dụng, còn hạn chế sẽ đưa các hoạt động chuyển giao thuộc diện áp dụng vào cơ chế kiểm soát xuất khẩu.

Phần giải thích chính sách của Bộ Thương mại cho biết các công nghệ này có thể được dùng để tấn công cơ sở hạ tầng thông tin trọng yếu, hệ thống công nghiệp quốc phòng và hệ thống chính phủ cốt lõi, hoặc để vượt qua các biện pháp bảo vệ an ninh. Bộ mô tả việc sửa đổi là hoạt động quản lý thương mại công nghệ thường kỳ, không nhắm đến quốc gia, khu vực hay tổ chức cụ thể nào.

Đăng ký bắt đầu trước khi quy định cuối cùng có hiệu lực

Những thay đổi được đề xuất đối với danh mục của Trung Quốc vẫn đang trong giai đoạn lấy ý kiến, nhưng yêu cầu đăng ký tạm thời đã có hiệu lực ngay khi thông báo ngày 16 tháng 10 được ban hành. Nhà xuất khẩu phải đăng ký các hoạt động chuyển giao công nghệ thuộc diện áp dụng trước khi xuất khẩu, cho đến khi danh mục sửa đổi có hiệu lực. Các hoạt động chuyển giao đã bắt đầu nhưng chưa hoàn tất cũng nằm trong diện này.

Thông báo nêu một số hình thức thuộc diện áp dụng: chuyển quyền sở hữu công nghệ ra nước ngoài, cấp phép sử dụng công nghệ trong nước ở nước ngoài, và các thay đổi khiến quyền sở hữu hoặc quyền kiểm soát thực tế đối với công nghệ trong nước rơi vào tay nước ngoài.

Việc đăng ký được thực hiện qua dịch vụ đăng ký thương mại công nghệ của Bộ Thương mại trên nền tảng kinh doanh thống nhất. Nhà xuất khẩu phải cung cấp thông tin như bên xuất khẩu và bên tiếp nhận, quốc gia hoặc khu vực đích, công nghệ, mục đích sử dụng và giá trị xuất khẩu ước tính.

Bộ cũng phân biệt giữa chuyển giao công nghệ và cung cấp quyền truy cập vào một dịch vụ. Theo phần giải thích về quy định được đề xuất, triển khai công nghệ AI bị hạn chế tại địa phương ở nước ngoài sẽ thuộc diện quản lý xuất khẩu. Một số hình thức, chẳng hạn triển khai trên dịch vụ đám mây ở nước ngoài của chính công ty, có thể đủ điều kiện áp dụng thủ tục cấp phép tự động.

Cung cấp quyền truy cập mô hình qua API, ứng dụng, trang web hoặc phần mềm dưới dạng dịch vụ sẽ không thuộc nhóm xuất khẩu công nghệ mô hình lớn được mô tả trong phần giải thích. Triển khai nhẹ trên thiết bị tại chỗ cũng nằm ngoài nhóm này. API cho phép một chương trình máy tính gửi yêu cầu dịch vụ đến chương trình khác, giúp khách hàng sử dụng mô hình mà không cần nhận các tệp nền tảng của mô hình.

Việc phát hành mở được áp dụng quy định riêng

Thông báo của Trung Quốc loại trừ công nghệ đã được công khai thông qua các bản phát hành mã nguồn mở hoặc bài báo học thuật. Bộ cũng mô tả các thủ tục cấp phép tự động và đơn giản hóa khác đối với một số hoạt động xuất khẩu công nghệ AI liên quan đến phát hành mở, hợp tác nghiên cứu ở nước ngoài và các hoạt động liên quan.

Vì vậy, cách thức công bố và chuyển giao cũng quan trọng không kém năng lực kỹ thuật. Một công ty cung cấp mô hình lưu trữ trên nền tảng, một công ty chuyển giao công nghệ bị hạn chế để triển khai ở nước ngoài, và một nhà phát triển phân phối công nghệ đã thuộc phạm vi công khai có thể chịu cách đối xử khác nhau theo khuôn khổ được nêu.

Kế hoạch phát hành trọng số của Moonshot khiến những khác biệt này trở nên đáng chú ý đối với phạm vi hoạt động quốc tế của công ty. Trong các văn bản này, chính phủ chưa công bố phân loại K3.1 Pro; ngày triển khai danh mục cuối cùng cũng chưa được xác định.

Các mốc thời gian sắp tới khiến lịch phát hành và quy trình chính sách diễn ra gần nhau:

• Ngày 16 tháng 7 năm 2026: Kimi K3 được phát hành, với kế hoạch phát hành trọng số vào ngày 27 tháng 7.
• Ngày 16 tháng 10: Trung Quốc ban hành Thông báo số 48, mở đợt lấy ý kiến và bắt đầu áp dụng đăng ký xuất khẩu tạm thời.
• Ngày 23 tháng 10: Moonshot phát hành K3.1 Pro.
• Ngày 24 tháng 10: Moonshot nêu các biện pháp giảm năng lực mạng tấn công.
• Ngày 4 tháng 11: Moonshot dự kiến công bố trọng số của K3.1 Pro.
• Ngày 15 tháng 11: Hạn cuối gửi ý kiến công chúng về các sửa đổi danh mục xuất khẩu được đề xuất.

Năng lực cao hơn với chi phí truy cập thấp hơn

Việc K3.1 Pro được ra mắt rộng rãi hơn giúp lý giải vì sao năng lực mạng của mô hình có ý nghĩa vượt ra ngoài phạm vi công việc bảo mật chuyên sâu. Mô hình có tổng cộng 2,8 nghìn tỷ tham số, trong đó 104 tỷ tham số được kích hoạt, thuộc nhóm khoảng 3 nghìn tỷ tham số theo mô tả của Moonshot. Tham số là các giá trị số mà mô hình học được trong quá trình huấn luyện.

Mô hình có cửa sổ ngữ cảnh một triệu token và tiếp nhận văn bản cùng hình ảnh. Token là những phần thông tin được hệ thống xử lý; cửa sổ ngữ cảnh lớn hơn cho phép mô hình làm việc với nhiều tài liệu hơn trong một tác vụ. Moonshot cũng cung cấp K3.1 Pro Highspeed, phiên bản mà công ty cho biết chạy nhanh hơn từ hai đến ba lần.

Giá API tiêu chuẩn giảm một phần ba: từ 3 USD xuống 2 USD cho mỗi triệu token đầu vào và từ 15 USD xuống 10 USD cho mỗi triệu token đầu ra. Giá đầu vào đã lưu bộ nhớ đệm, tức tái sử dụng tài liệu đã xử lý trước đó, giảm từ 0,30 USD xuống 0,20 USD cho mỗi triệu token. Giá Highspeed là 4 USD cho đầu vào và 20 USD cho đầu ra trên mỗi triệu token.

Chỉ số Intelligence Index của Artificial Analysis xếp K3.1 Pro ở vị trí thứ tư với 55 điểm, tăng 11 điểm so với K3 và kém Claude Opus 5.5 ba điểm, với 58 điểm. Phép so sánh lập trình trên thiết bị đầu cuối của Moonshot cho K3.1 Pro đạt 65,7%, gần với mức 66,4% của Opus 5.5. Tuy nhiên, trong các tác vụ khoa học trên thiết bị đầu cuối, Moonshot cho biết K3.1 Pro đạt 38,1, thấp hơn GPT-6 Astra ở mức 68,1 và Opus 5.5 ở mức 63,3.

Moonshot cũng công bố các số liệu lỗi khác nhau cho những bài kiểm tra khác nhau. Blog ra mắt cho biết tỷ lệ phát ngôn bịa đặt hoặc sai là 8,3%, giảm từ 23,4% của K3; hướng dẫn nhanh API đưa ra mức 6,85%, giảm từ 23,35%, dựa trên một bộ hội thoại khác. Cả hai tài liệu đều mô tả các bài kiểm tra chuyên biệt, trong khi khách hàng vẫn cần kiểm tra câu trả lời trong công việc của mình.

Đối với nhà phát triển và các nhóm an ninh, thay đổi trước mắt là khả năng tiếp cận công cụ lập trình và tự động hóa mạnh hơn với giá token thấp hơn. Với Moonshot, việc công bố trọng số sẽ chuyển thêm các quyết định về triển khai, chỉnh sửa và biện pháp bảo vệ sang các tổ chức tải chúng xuống.

Điểm chính

• Moonshot cho biết việc loại bỏ tài liệu huấn luyện về an ninh mạng khiến điểm của K3.1 Pro trong bài kiểm tra khai thác nội bộ giảm từ 90,5% xuống 81,0%.
• Mô hình sau khi lọc vẫn đạt điểm cao hơn nhiều so với mức 33,3% của Kimi K3 trong cùng bài kiểm tra.
• Bài đánh giá chuẩn nội bộ chưa được công bố và kết quả mới chưa được xác minh độc lập.
• Đánh giá trước đây của Anh và Mỹ cho thấy K3 có thể hoàn thành một cuộc tấn công vào mạng doanh nghiệp mô phỏng trong một trên 10 lần thử.
• Trung Quốc đề xuất cấm xuất khẩu công nghệ AI tạo mã độc và hạn chế xuất khẩu công nghệ AI phát hiện lỗ hổng.
• Đăng ký xuất khẩu tạm thời bắt đầu từ ngày 16 tháng 10. Đợt lấy ý kiến công chúng kết thúc ngày 15 tháng 11.
• Moonshot dự kiến công bố trọng số của K3.1 Pro trước ngày 4 tháng 11, trao cho các nhà phát triển bên ngoài nhiều quyền kiểm soát hơn đối với cách sử dụng mô hình.