Una valutazione congiunta dell’AI Safety Institute britannico e del Center for AI Standards and Innovation del NIST statunitense ha rilevato che Kimi K3, uno dei modelli linguistici più avanzati sviluppati in Cina, rimane sensibilmente inferiore ai principali sistemi statunitensi nelle attività di attacco informatico. L’analisi ha utilizzato ExploitBench, un benchmark che misura la capacità dei modelli di esaminare vulnerabilità software e sviluppare codice capace di sfruttarle, e ha assegnato a Kimi K3 un punteggio complessivo del 32,2%, contro una media del 76,2% ottenuta dai modelli statunitensi di fascia più alta esaminati nello stesso confronto. Il divario è risultato particolarmente evidente nelle prove di esecuzione arbitraria di codice, considerate tra le forme più gravi di compromissione perché consentono di ottenere il controllo completo del sistema: Kimi K3 non è riuscito a completare con successo nessuna delle 41 attività previste, mentre i modelli statunitensi hanno raggiunto l’obiettivo in 20 casi.
La stessa differenza è emersa in The Last Ones, un cyber range progettato per simulare un’infrastruttura aziendale composta da quattro sottoreti, oltre venti host e un percorso d’attacco articolato in 32 passaggi. I sistemi statunitensi più avanzati sono arrivati mediamente al passaggio 28,5, mentre Kimi K3 si è fermato in media al diciassettesimo. Il modello ha comunque superato le precedenti soluzioni open weight: il suo 32,2% su ExploitBench è superiore al 24% ottenuto da GLM-5.2, considerato fino a giugno 2026 il modello aperto più performante in questo ambito, e nel cyber range ha completato mediamente 17 passaggi contro gli 11 di GLM-5.2. In una delle dieci esecuzioni effettuate con un limite di 100 milioni di token, Kimi K3 è inoltre riuscito a completare tutti i 32 passaggi, dimostrando di poter condurre autonomamente un attacco completo contro sistemi aziendali di piccole dimensioni e scarsamente protetti, anche se con una probabilità di successo molto inferiore rispetto ai modelli statunitensi.
La verifica ha evidenziato anche limiti nelle misure di sicurezza integrate nel modello. Secondo gli istituti britannico e statunitense, i controlli di Kimi K3 non sono riusciti a bloccare efficacemente né lo sviluppo agentico di attacchi informatici né l’esecuzione di operazioni offensive. Il risultato appare però in contrasto con una precedente valutazione condotta da Aikido Security, nella quale Kimi K3 aveva individuato 23 vulnerabilità sconosciute su 26, collocandosi poco dietro GPT-5.6 Sol e allo stesso livello di GPT-5.6 Terra. La differenza dipende dal tipo di capacità misurata: Aikido ha valutato prevalentemente il rilevamento passivo di difetti nel codice e quindi un’attività difensiva, mentre ExploitBench e The Last Ones hanno esaminato la capacità di trasformare una vulnerabilità in un exploit funzionante, acquisire il controllo dei sistemi e completare un percorso di intrusione. Kimi K3 può quindi risultare competitivo nell’analisi del codice senza possedere lo stesso livello di competenza nella costruzione e nell’esecuzione di attacchi complessi.
Una possibile spiegazione riguarda il ricorso alla distillazione, cioè all’addestramento di un modello attraverso grandi quantità di output prodotti da sistemi più avanzati. Kimi K3 sarebbe stato migliorato utilizzando risposte generate da modelli statunitensi come quelli di Anthropic e OpenAI, ma questi sistemi applicano filtri che impediscono normalmente di ottenere istruzioni dettagliate per exploit sofisticati e attacchi ad alta pericolosità. I dati disponibili per la distillazione conterrebbero quindi molte conoscenze generali e difensive, ma pochi esempi completi di algoritmi offensivi, tecniche di intrusione ed esecuzione pratica. Questo limite potrebbe spiegare perché il modello riesca a riconoscere vulnerabilità con risultati vicini a quelli dei sistemi proprietari, ma mostri capacità decisamente inferiori quando deve sfruttarle autonomamente. Secondo questa interpretazione, la distillazione permette di trasferire efficacemente competenze presenti nelle risposte osservabili del modello insegnante, ma non quelle che rimangono nascoste dietro i suoi sistemi di sicurezza.
Il confronto deve comunque essere letto considerando una differenza nelle condizioni di prova. I ricercatori hanno valutato i modelli proprietari statunitensi con le protezioni interne disattivate, allo scopo di misurarne la massima capacità offensiva teorica, mentre Kimi K3 è stato eseguito nella configurazione standard. Le sue misure di sicurezza non hanno impedito completamente le attività agentiche di attacco, ma potrebbero comunque averne limitato alcune risposte, rendendo il confronto meno uniforme e accentuando il divario. I risultati mostrano tuttavia che i modelli cinesi open weight hanno ormai raggiunto livelli molto elevati nel controllo del codice, nell’individuazione delle vulnerabilità e nelle attività difensive, mentre rimane una distanza rilevante nelle operazioni offensive che richiedono competenze specialistiche, dati di addestramento non filtrati e capacità di esecuzione autonoma su lunghe catene di attacco. Per superare questo limite non sarebbe quindi sufficiente aumentare la quantità di dati distillati: servirebbero architetture di addestramento proprietarie e dataset specifici capaci di sviluppare competenze non direttamente trasferibili dagli output dei modelli occidentali. Le autorità britanniche e statunitensi intendono continuare ad aggiornare i sistemi di valutazione e le linee guida di sicurezza per seguire l’evoluzione delle capacità informatiche dei modelli avanzati.