月之暗面公开承认把 Kimi 新模型的黑客能力训低了，削掉的并不多

月之暗面在 Kimi K3.1 Pro 的技术博客里，公布了一个它没有发布的版本的成绩。题目是它自己出的：给 AI 一份带漏洞的源代码和一句提示，要它写出攻击程序，在另一台机器上拿到执行任意代码的权限，每题给三次机会。同一套训练流程，不做删减的版本做出了 90.5%，最后发布的版本降到 81.0%。

• GPT-5.6 Sol100
• Kimi（未删数据的版本，未发布）90.5
• DeepSeek V4.1 Flash85.7
• Kimi K3.1 Pro（发布版）81.0
• GLM-5.357.1
• Kimi K333.3

来源：月之暗面 Kimi K3.1 Pro 技术博客，2026 年 10 月

删掉的是训练数据里和网络攻防有关的部分。按博客的说法，开发过程中他们看到模型找漏洞、写攻击的本事随着后训练规模一路上涨，追查下去，发现这类内容混在中期训练的通用语料里，强化学习的练习环境里也有相关任务。于是两个阶段都把它们挑出来删掉，一般的编程任务留下。月之暗面给这个决定配了两条原则：一是「不希望发布推进网络攻防能力绝对前沿的开放权重」；二是以后逐步提高开放权重里的攻防能力，理由是模型开放、跑在用户自己的机器上，就会有更多团队能审查自己维护的代码，包括那些很少有人做安全检查的老系统。K3.1 Pro 的完整权重计划在 11 月 4 日前放出，任何人都能下载、修改。

表里六个模型的分数都正好是二十一分之几，这套没有公开的题库很可能就是 21 道题。这样换算，没删减的版本做出 19 道，发布版 17 道，删数据少做出 2 道。

同一张表的第三行是 DeepSeek 的 V4.1 Flash，10 月 17 日以 MIT 许可证开源，人人能下载。它在这套题上做出 18 道：比发布版多一道，比没删减的版本少一道。上一代 Kimi K3 只做出 7 道；OpenAI 7 月发布的 GPT-5.6 Sol 由第三方测得全部做出，和博客说的「仍落后于那些已公开发布至少三个月的前沿闭源模型」对得上。照月之暗面自己的数，这一刀的效果，是让 K3.1 Pro 不当能下载的模型里写攻击程序最强的那个，名次让给了一周前开源的 DeepSeek；比起上一代，它写攻击程序的本事仍然翻了一倍多。

博客只用这一张表比较删与不删，另外 46 项成绩都只列了发布版，删数据在别处有没有代价，从原文看不出。外部数据里，至少防守一侧看不到代价。独立评测机构 Artificial Analysis 有一套网络安全指数，让模型在真实代码库里找漏洞、复现、打补丁，K3.1 Pro 在它测过的公开可用模型里得分最高。Claude Opus 5.5 和 GPT-6 Astra 分数低，主要因为其中一项要求复现漏洞，它们几乎每道题都被自家的安全机制拦下，拦下按零分计；K3.1 Pro 一道没被拦。

• Kimi K3.1 Pro64
• DeepSeek V4.1 Flash 101757
• Kimi K341
• GPT-6 Astra33
• Claude Opus 5.529

独立评测机构 Artificial Analysis 测得，综合三项防守类测试；被安全机制拒绝的任务按零分计，闭源模型的低分主要来自这里。 来源：Artificial Analysis Cyber Index，2026 年 10 月 24 日查阅

权重放出去以后，有人能不能把删掉的能力练回来，眼下没人能回答。删减只做在中期训练和强化学习两步；K3.1 Pro 是在 K3 的基础上继续训练出来的，K3 预训练时读过的东西没有动，而 K3 的权重早已公开。最接近的研究是去年英国 AI 安全研究所等机构的研究者发表的论文：从预训练阶段就滤掉生物威胁相关的文本，69 亿参数的小模型扛住了多达 1 万步的恶意微调，而只在训练后期加上的防护，往往几十步就被练掉。Kimi 的做法落在两者之间，模型又大了几百倍，论文的结论套不过来。权重和题库都还没公开，Hugging Face 上月之暗面的页面里还没有 K3.1 Pro，外人连复核那 2 道题都做不到。

K3 的许可证明文允许任何人微调。门槛在机器：Hugging Face 上 K3 的仓库约 1.56 TB，要在这种规模上重新训练，得有一整个计算集群。对有这种条件的人，威胁情报公司的首席信息安全官 Ensar Seker 在他 10 月 23 日的安全通讯里写得很直接：「对手不需要月之暗面没放出来的那个版本：微调、越狱，或者干脆用上个月没做过滤的竞品，都能把砍掉的补回来。」

12 天前，Anthropic 发文介绍它如何防「蒸馏」，也就是用大量账号调用 Claude，拿它的回答和推理过程去训练自家模型，并点名两家中国公司。它称智谱开发 GLM-5.3 时蒸馏了美国模型的网络攻防能力；月之暗面把用户发给 Kimi 的请求偷偷转给 Claude，其中一个请求来自 Anthropic 认为与解放军有关的用户，要分析针对某个人的监控录像。它 9 月的威胁情报报告写得更细：一次十天的行动里，月之暗面经由 5,380 个虚假账号把近 30 万条用户请求转给了 Anthropic。这些都出自 Anthropic 自己的后台记录，外人无法核对。月之暗面在蒸馏问题上的公开表态是 7 月 K3 发布后，据 TechWeb 报道，企业业务负责人黄震昕说 K3 的提升来自底层原创架构，并非对现有模型的蒸馏复刻。K3.1 Pro 的博客没有提这件事。

Anthropic 防蒸馏靠的是它自己的接口：把 Claude 的推理过程先总结再给人看，拦截套取推理的请求，它估计被拿走的推理内容因此少了九成到九成九。开放权重的公司没有接口可守，模型一旦放出去就收不回来，月之暗面能做的，只是在训练时少教一点，并把少教了多少写出来。

普通用户能用到的，是降了价的 Kimi。API 每百万 token 输入 13 元、输出 68 元，比 K3 的 20 元和 100 元便宜三分之一，但仍是 DeepSeek V4.1 Flash 闲时价（输入 1 元、输出 4 元）的十几倍。K3.1 Pro 已经上了网页、App、Kimi Work 和 Kimi Code。Kimi Code 的文档写明，每月 99 元的 Plus 会员起可用，100 万 token 的长上下文和快两三倍的高速版要每月 199 元的 Pro；聊天应用里哪一档能用，帮助中心的模型说明还停在 K3。发布当晚，一位免费用户在国内开发者论坛上贴出截图，说自己「依旧用不上」。