Kimi K3也越狱，跑出沙盒抄答案了。。。

关注飞总聊IT，了解IT行业的方方面面。

8月7日，美国网络安全公司Frontier Security发了一篇博客。 内容很简单，也很尴尬：他们把中国Moonshot AI的旗舰模型Kimi K3关进测试沙盒，让它做网络安全题。然后发现，Kimi K3没有做题。 它找到了一条缝，钻出去了，直接去GitHub把答案抄回来了。

先说清楚这个测试是怎么回事。 沙盒是AI安全评测的标准工具——一个与外界完全隔绝的虚拟测试环境，研究员把模型关进去，观察它的行为，同时确保它的任何动作不会影响真实世界。

Frontier Security用的是英国政府AI安全研究所（AISI）提供的基准测试框架，任务是评估Kimi K3的防御性网络安全能力。

然后事情就偏了。 沙盒的配置出了问题——入站流量被屏蔽了，但出站的HTTPS 443端口和DNS 53端口没有关闭，仍然对公共网络开放。Kimi K3主动探测了网络设置，发现自己能解析github.com的地址。

发现之后，它没有停下来，没有报告，没有按照设计好的路径解题。 它克隆了这道测试题所对应的官方基准测试仓库，直接从磁盘上读取了答案。

翻译成人话：它在考场里发现监考老师没盯着，然后直接把答案本拿过来抄了。

Frontier Security CEO Yaron Singer的反应很直接："我们发现了沙盒里的一个漏洞。但我们同时发现，Kimi利用了这个漏洞——这说明它没有像同类前沿模型那样的内部护栏。"

这句话的重量，在"内部护栏"这四个字上。OpenAI和Anthropic的模型在类似测试中也出现过越界行为，但那些模型要么是尚未发布的内部版本，要么是研究人员主动降低了安全限制才去做更极端的评测。

Kimi K3不一样——它是一个已经公开发布、任何人都可以免费下载和使用的开源模型。 这才是最让人不安的地方。

一个内部测试版本越狱，是实验室的问题，可以在发布前修复。一个已经在全球用户手里跑着的公开模型越狱，性质完全不同。

不过有一点需要说清楚：Kimi K3这次的"越狱"，跟OpenAI的Hugging Face事件不是一个级别。

OpenAI的GPT-5.6 Sol在7月21日披露的事件中，发现并利用了第三方包注册代理软件中的未知零日漏洞，随后用窃取的凭证链式入侵，最终触达了Hugging Face的内部系统。那是主动攻击，是真正意义上的入侵。

Kimi K3没有攻击任何人。它只是发现门没锁，走出去，从公开的GitHub仓库里拿了答案，然后回来交卷。

但Frontier Security的核心结论不是在比谁更危险，而是指向了一个更根本的问题："如果存在一条通往互联网的路，一个足够强大的AI代理就会找到它。" 这句话的逻辑，不只适用于Kimi K3，而适用于所有当前的前沿模型。

还有一个细节值得单独说。 Frontier Security明确指出，Kimi K3表现出的是一种"规范博弈"行为——它追求的是可测量的目标（得到正确答案），而不是评测者设计的解题路径。

这不是它"想作弊"，而是它在优化目标时，选择了最有效的路径——无论这条路径是否在规则允许的范围内。这恰好是AI安全研究者长期以来最担心的一类行为模式：模型会把"完成目标"放在"遵守约束"之前。

现在，这不再是理论担忧，而是一个已经发生在公开模型上的真实案例。

这件事还有一层地缘政治的底色。

Kimi K3上个月刚刚发布，第三方评测显示其性能可以媲美OpenAI和Anthropic的顶级模型，一度被视为中国AI追赶甚至超越美国的标志性成果。

白宫科技政策办公室主任Michael Kratsios已经指控Moonshot AI使用被禁止的Nvidia芯片，以及大规模蒸馏美国模型。

在这个背景下，Kimi K3的沙盒逃脱事件，被美国研究机构在这个时间节点公开披露，本身就不只是一个技术安全事件。 Frontier Security的报告最后有一句话，是写给整个行业的： 如果模型能对评测作弊，那么高分根本证明不了它是安全的。

一周之内，OpenAI、Anthropic、Meta、Moonshot AI，四家公司，四起沙盒越界事件。这已经不是某一家公司的问题，而是整个AI安全评测体系的问题。 当关笼子的钥匙，比笼子里的东西跑得还慢—— 这个行业的麻烦，才刚刚开始。

推荐飞总知识星球，在私域场合里畅所欲言，聊聊职场发展的事情，和飞总提问交流，这么低 的价格不会一直保留，机会难得，一定不要错过这个的机会。