Moonshot reduz capacidades de pirataria informática do Kimi K3.1 Pro antes do lançamento aberto e das regras chinesas de exportação

Menos capacidade de pirataria informática, mas um modelo mais poderoso

A startup de Pequim Moonshot AI afirma ter reduzido as capacidades ofensivas de pirataria informática do Kimi K3.1 Pro antes do lançamento previsto dos ficheiros do modelo, até 4 de novembro de 2026. As alterações fizeram descer a pontuação num teste interno de exploração de software de 90,5% para 81,0%, embora o modelo resultante tenha continuado a obter uma pontuação muito superior à do seu antecessor, que alcançou 33,3%.

A Moonshot lançou o K3.1 Pro a 23 de outubro e descreveu as restrições num comunicado a 24 de outubro. A sua abordagem consiste em remover material utilizado para ensinar determinadas competências cibernéticas, mantendo as capacidades gerais de programação que tornam o modelo útil para criar e reparar software.

O anúncio surge oito dias depois de o Ministério do Comércio e o Ministério da Ciência e Tecnologia da China terem proposto novos controlos à exportação de tecnologia. As propostas proibiriam a exportação de tecnologia para gerar e modificar código malicioso com IA, ao mesmo tempo que restringiriam a tecnologia que utiliza IA para descobrir vulnerabilidades de software.

O lançamento da Moonshot reúne estas duas questões: quanta capacidade de pirataria informática deve ter um modelo amplamente descarregável e de que forma os governos devem regulamentar tecnologia que pode ajudar tanto os defensores como os atacantes de software.

Ao explicar os limites que pretende impor a este lançamento, a Moonshot afirmou:

O nosso objetivo é não lançar pesos abertos que ampliem a fronteira absoluta das capacidades cibernéticas.

Os pesos da empresa são os ficheiros que contêm aquilo que o modelo aprendeu. A sua publicação permite que programadores externos executem e modifiquem o sistema nos seus próprios computadores. Isto dá mais controlo aos utilizadores, mas reduz a capacidade da Moonshot para gerir o acesso ou alterar as salvaguardas depois de as cópias se disseminarem.

O que a Moonshot removeu

A Moonshot afirma que o material cibernético entrou no desenvolvimento do modelo por duas vias: uma coleção geral de dados de treino utilizada numa fase intermédia e tarefas cibernéticas incluídas em ambientes de aprendizagem por reforço. A aprendizagem por reforço melhora um modelo através de tentativas repetidas de realizar tarefas e de feedback sobre o seu desempenho.

A empresa removeu material cibernético de ambas as fases, mantendo as tarefas gerais de programação. O seu teste interno, denominado xdev-bench-hard, mede se um modelo consegue reproduzir vulnerabilidades de software divulgadas recentemente e desenvolver formas de as explorar, contabilizando o sucesso até três tentativas.

O teste inclui vulnerabilidades em software como o kernel do Linux, o Node.js e o JavaScriptCore. Estes são componentes utilizados para executar sistemas operativos, aplicações de servidor e código JavaScript. Uma exploração é um método de transformar uma vulnerabilidade de software numa ação, como obter acesso ou fazer com que um programa se comporte de forma inesperada.

A pontuação do K3.1 Pro caiu 9,5 pontos percentuais após a filtragem, de 90,5% para 81,0%. O DeepSeek V4.1-Flash obteve 85,7% na mesma comparação interna, deixando o modelo Kimi filtrado abaixo desse concorrente.

O Kimi K3, o antecessor, obteve 33,3%. O sucessor filtrado manteve, assim, uma vantagem de 47,7 pontos percentuais, mostrando até que ponto tinha avançado a sua capacidade para lidar com estas tarefas, mesmo após os cortes específicos.

Porque é que a programação geral continua a ser importante para a pirataria informática

A Moonshot atribui a capacidade cibernética que subsiste, em parte, às melhorias na programação geral e na depuração ao longo de sequências de trabalho prolongadas. Um modelo capaz de inspecionar código, seguir uma falha através de vários ficheiros e testar possíveis soluções também pode aplicar essas competências à descoberta e exploração de vulnerabilidades.

O blogue de lançamento da empresa explicou esta relação da seguinte forma:

melhora substancialmente em relação ao seu antecessor, indicando que capacidades mais fortes de programação geral e de depuração em tarefas prolongadas se generalizam a tarefas cibernéticas, mesmo após a remoção específica de dados.

Os responsáveis pela defesa de software podem usar estas capacidades para inspecionar sistemas antigos que recebem pouca atenção, uma vantagem que a Moonshot invocou em defesa dos pesos abertos. Uma organização poderia executar o modelo localmente e examinar o software cuja manutenção lhe compete.

Os atacantes podem recorrer a capacidades semelhantes para procurar vulnerabilidades e automatizar partes de uma intrusão. A questão prática é, por isso, mais ampla do que saber se um modelo foi exposto a exemplos explicitamente maliciosos: competências de programação úteis podem ser aplicadas a operações ofensivas.

O teste xdev-bench-hard da Moonshot não foi publicado e os resultados não foram verificados de forma independente. A empresa também não explicou se o treino adicional por parte de programadores externos poderia recuperar as capacidades removidas antes do lançamento. Estas são questões centrais para avaliar um modelo cujos ficheiros poderão ser modificados pelos utilizadores.

O que os testes governamentais revelaram sobre o Kimi K3

O Instituto de Segurança da Inteligência Artificial do Reino Unido e o Centro de Normas e Inovação em IA dos EUA examinaram anteriormente o Kimi K3, lançado a 16 de julho de 2026, com a publicação dos pesos abertos prevista para 27 de julho. A sua avaliação conjunta das capacidades cibernéticas constitui uma referência independente para o antecessor.

O K3 obteve 32% no ExploitBench, contra 24% do GLM-5.2. Desenvolvido pela Universidade Carnegie Mellon, este teste de referência avalia o progresso na exploração de 41 vulnerabilidades no V8, o motor de software que executa JavaScript e WebAssembly no Chrome.

O K3 não conseguiu executar código arbitrário em nenhuma das 41 amostras. Os modelos líderes conseguiram fazê-lo, em média, em 20 amostras. A execução de código arbitrário consiste em levar um sistema-alvo a executar comandos escolhidos por um atacante, um resultado particularmente grave porque lhe pode dar controlo sobre o sistema.

Os institutos também testaram o K3 em The Last Ones, uma rede empresarial simulada com cerca de 20 computadores distribuídos por quatro segmentos de rede. O exercício inclui uma sequência de 32 etapas de ataque e demoraria aproximadamente 20 horas a ser concluído por um especialista humano.

Com um limite de 100 milhões de tokens, o K3 chegou, em média, à etapa 17, contra a etapa 11 do GLM-5.2 e a etapa 28,5 dos principais modelos norte-americanos. O K3 concluiu todo o exercício numa de 10 tentativas. Os modelos mais capazes concluíram-no em seis ou sete de cada 10 tentativas.

Como interpretar os limites dos testes

Os institutos britânico e norte-americano afirmaram que as salvaguardas do K3 lhe permitiram tentar desenvolver explorações e realizar operações cibernéticas ofensivas durante as suas avaliações. As conclusões colocam o K3 acima de um modelo anterior de referência com pesos abertos, mas abaixo dos modelos mais fortes que testaram.

O exercício The Last Ones começava com acesso inicial à rede. Incluía uma via de ataque intencional, não tinha defensores ativos nem ferramentas defensivas e não penalizava comportamentos que acionariam alertas de segurança. Estas condições proporcionaram ao modelo um ambiente estruturado para levar a cabo um ataque.

Os institutos descreveram as avaliações como preliminares e seletivas. A estimativa agregada das capacidades do K3 baseou-se num único teste de referência, o que gera maior incerteza estatística do que as estimativas para modelos avaliados numa gama mais ampla de tarefas.

Os modelos norte-americanos com pesos fechados foram testados com as salvaguardas do sistema desativadas, para que os avaliadores pudessem medir as suas capacidades máximas com menos recusas. As versões públicas têm essas salvaguardas ativadas. Por isso, ao comparar os resultados, é necessário ter em conta tanto as competências subjacentes do modelo como os controlos associados ao serviço utilizado para lhe aceder.

O novo resultado de 81,0% do K3.1 Pro provém de um teste interno diferente da Moonshot. A comparação com o K3 é mais útil dentro desse mesmo teste, no qual o antecessor obteve 33,3%. Uma avaliação independente do novo lançamento daria às equipas de segurança uma base mais sólida para avaliar as suas capacidades.

China propõe proibições e restrições

Os dois ministérios chineses emitiram o Anúncio n.º 48 a 16 de outubro de 2026. O aviso solicita comentários sobre as revisões ao Catálogo de Tecnologias Proibidas e Restritas à Exportação, estando aberto o envio de contributos até 15 de novembro.

As adições propostas abrangem 40 tecnologias: 23 no domínio da IA, cinco na biomedicina e 12 no fabrico de painéis solares. No conjunto dos três setores, 14 tecnologias seriam proibidas de exportar e 26 ficariam sujeitas a restrições.

As categorias de IA incluem grandes modelos, agentes, clusters de computação e processamento de informação. Os agentes são sistemas que utilizam ferramentas e executam uma sequência de ações para atingir um objetivo, em vez de se limitarem a responder a uma única pergunta.

A tecnologia de IA para gerar e modificar código malicioso está entre as exportações cuja proibição é proposta. A tecnologia de IA para encontrar vulnerabilidades está entre as exportações cuja restrição é proposta. A diferença é importante: a proibição impediria as exportações abrangidas, enquanto as restrições sujeitariam as transferências abrangidas a controlos de exportação.

A explicação da política do Ministério do Comércio afirma que as tecnologias poderiam ser utilizadas contra infraestruturas críticas de informação, sistemas da indústria da defesa e sistemas centrais do governo, ou para contornar proteções de segurança. O ministério descreve a revisão como uma medida corrente de gestão do comércio de tecnologia, que não visa qualquer país, região ou entidade em particular.

Registo começa antes das regras definitivas

As alterações propostas ao catálogo da China continuam em consulta, mas os requisitos temporários de registo entraram em vigor com a publicação do anúncio de 16 de outubro. Até à entrada em vigor do catálogo revisto, os exportadores têm de registar as transferências de tecnologia abrangidas antes da exportação. Estão também incluídas as transferências já iniciadas, mas ainda não concluídas.

O aviso identifica vários tipos de operações abrangidas: transferir a titularidade de tecnologia para o estrangeiro, licenciar tecnologia nacional para utilização no exterior e realizar alterações que coloquem a titularidade ou o controlo efetivo de uma tecnologia nacional em mãos estrangeiras.

O registo é feito através da aplicação de comércio de tecnologia do Ministério do Comércio, na sua plataforma empresarial unificada. Os exportadores têm de fornecer informações como a identidade do exportador e do destinatário, o país ou região de destino, a tecnologia, a utilização prevista e o valor estimado da exportação.

O ministério também distingue a transferência de tecnologia da disponibilização de acesso a um serviço. Segundo a explicação das regras propostas, a instalação local de tecnologia de IA restrita no estrangeiro seria abrangida pela gestão das exportações. Algumas modalidades, como a instalação na própria infraestrutura de nuvem de uma empresa no estrangeiro, poderiam ser elegíveis para procedimentos de licenciamento automático.

A disponibilização de acesso a modelos através de uma API, aplicação, sítio Web ou software como serviço ficaria fora da categoria de exportação de tecnologia de grandes modelos descrita na explicação. A instalação ligeira em dispositivos locais também está excluída dessa categoria. Uma API permite que um programa informático solicite um serviço a outro, permitindo aos clientes utilizar um modelo sem receber os ficheiros subjacentes.

Os lançamentos abertos têm um tratamento próprio

O anúncio da China exclui a tecnologia que já se encontre no domínio público através de lançamentos de código aberto ou artigos académicos. O ministério também descreve licenças automáticas e outros procedimentos simplificados para certas exportações de tecnologia de IA relacionadas com lançamentos abertos, cooperação em investigação no estrangeiro e atividades afins.

A publicação e a transferência são, por isso, tão relevantes como a capacidade técnica. Uma empresa que disponibilize um modelo alojado, uma empresa que transfira tecnologia restrita para instalação no estrangeiro e um programador que distribua tecnologia já no domínio público podem ser tratados de forma diferente ao abrigo do quadro anunciado.

O lançamento previsto dos pesos da Moonshot torna estas distinções relevantes para o seu alcance internacional. Nestes documentos, o governo não publicou qualquer classificação do K3.1 Pro e ainda não foi indicada a data de entrada em vigor do catálogo definitivo.

As próximas datas aproximam o calendário de lançamento do processo de definição da política:

• 16 de julho de 2026: lançamento do Kimi K3, seguido da publicação prevista dos pesos a 27 de julho.
• 16 de outubro: a China emitiu o Anúncio n.º 48, abriu a consulta e iniciou o registo temporário de exportações.
• 23 de outubro: a Moonshot lançou o K3.1 Pro.
• 24 de outubro: a Moonshot descreveu a redução das capacidades cibernéticas ofensivas.
• 4 de novembro: a Moonshot prevê ter publicado os pesos do K3.1 Pro.
• 15 de novembro: termina o prazo para apresentar comentários sobre as revisões propostas ao catálogo de exportações.

Mais capacidades por um custo de acesso inferior

O lançamento mais amplo do K3.1 Pro ajuda a explicar por que motivo as suas capacidades cibernéticas são relevantes para além do trabalho especializado em segurança. O modelo tem 2,8 biliões de parâmetros no total, dos quais 104 mil milhões são ativos, colocando-o na classe de cerca de 3 biliões de parâmetros descrita pela Moonshot. Os parâmetros são as definições numéricas que um modelo aprende durante o treino.

O modelo tem uma janela de contexto de um milhão de tokens e aceita texto e imagens. Os tokens são unidades de informação processadas pelo sistema; uma janela de contexto maior permite-lhe trabalhar com mais material numa única tarefa. A Moonshot também disponibiliza o K3.1 Pro Highspeed, que, segundo a empresa, funciona duas a três vezes mais depressa.

Os preços da API padrão baixaram de 3 para 2 dólares por milhão de tokens de entrada e de 15 para 10 dólares por milhão de tokens de saída, uma redução de um terço. A entrada em cache, que reutiliza material previamente processado, baixou de 0,30 para 0,20 dólares por milhão de tokens. Os preços do Highspeed são de 4 dólares por milhão de tokens de entrada e 20 dólares por milhão de tokens de saída.

O Intelligence Index da Artificial Analysis colocou o K3.1 Pro em quarto lugar, com 55 pontos, mais 11 do que o K3 e três abaixo do Claude Opus 5.5, com 58. Na comparação de programação em terminal da Moonshot, o K3.1 Pro obteve 65,7%, próximo dos 66,4% do Opus 5.5. Em tarefas científicas em terminal, porém, a Moonshot atribuiu ao K3.1 Pro uma pontuação de 38,1, abaixo dos 68,1 do GPT-6 Astra e dos 63,3 do Opus 5.5.

A Moonshot também publicou valores de erro diferentes para testes distintos. O blogue de lançamento indicou uma taxa de afirmações inventadas ou incorretas de 8,3%, abaixo dos 23,4% do K3; o guia de início rápido da API indicou 6,85%, abaixo dos 23,35%, com base num conjunto diferente de conversas. Ambos os documentos descrevem testes especializados, mas os clientes continuam a ter de verificar as respostas no seu próprio trabalho.

Para programadores e equipas de segurança, a mudança imediata é o acesso a capacidades mais fortes de programação e automatização a preços mais baixos por token. Para a Moonshot, a publicação dos pesos transferiria para as organizações que os descarregassem mais decisões sobre a instalação, a modificação e as salvaguardas.

Pontos principais

• A Moonshot afirma que a remoção de material cibernético de treino reduziu a pontuação do K3.1 Pro no seu teste interno de exploração de 90,5% para 81,0%.
• O modelo filtrado continuou a obter uma pontuação muito superior aos 33,3% do Kimi K3 no mesmo teste.
• O teste de referência interno não foi publicado e os novos resultados não foram verificados de forma independente.
• Testes anteriores realizados pelo Reino Unido e pelos EUA concluíram que o K3 conseguiu concluir um ataque simulado a uma rede empresarial numa de 10 tentativas.
• A China propõe proibir a exportação de tecnologia de IA para software malicioso e restringir a exportação de tecnologia de IA para descoberta de vulnerabilidades.
• O registo temporário de exportações começou a 16 de outubro. A consulta pública termina a 15 de novembro.
• A Moonshot prevê publicar os pesos do K3.1 Pro até 4 de novembro, dando aos programadores externos maior controlo sobre a forma como o modelo é utilizado.