23 października 2026 Moonshot AI, firma z Pekinu działająca pod jurysdykcją Chińskiej Republiki Ludowej, udostępniła model Kimi K3.1 Pro i zapowiedziała publikację pełnych wag do 4 listopada. W tym samym komunikacie podała wynik własnego testu tworzenia exploitów: wersja trenowana bez ograniczeń rozwiązała 90,5% zadań, wydana publicznie 81,0%, a poprzednik Kimi K3 tylko 33,3%.
Producent pierwszy raz pokazał, ile ofensywy wycina
Moonshot opisuje w nocie technicznej K3.1 Pro mechanizm, a nie tylko deklarację. Zdolność do znajdowania i wykorzystywania podatności rosła im dłużej trwało post-trenowanie, a jej źródłem były treści o bezpieczeństwie ofensywnym oraz zadania cyber obecne w środowiskach uczenia. Przed otwartym wydaniem firma usunęła te dane z obu etapów, zostawiając zwykłe zadania programistyczne.
Pomiar zrobiono na wewnętrznym teście xdev-bench-hard. Zadania odtwarzają niedawno ujawnione podatności w jądrze Linuksa, Node.js, JavaScriptCore, serwerze pocztowym Exim i bibliotece VirGL, z włączonymi mechanizmami ochronnymi. Model dostaje podatny kod źródłowy, krótką wskazówkę i binarkę, a zalicza zadanie dopiero wtedy, gdy zbuduje działający exploit, uzyska wykonanie dowolnego kodu w sandboksie i wyciągnie ciąg weryfikacyjny. To nie jest quiz z definicji CVE. To ten sam rodzaj pracy, który w polskiej organizacji wykonuje zespół red team albo przeciwnik.
Model ma 2,8 biliona parametrów, z czego aktywnych jest 104 miliardy i okno kontekstu miliona tokenów. Niezależny serwis pomiarowy Artificial Analysis umieścił go 23 października na czwartym miejscu swojego indeksu z wynikiem 55 punktów, trzy punkty za najwyżej ocenianym modelem zamkniętym i wyliczył średni koszt jednego zadania na około 2 dolary (przy cenniku 2 dolarów za milion tokenów wejściowych i 10$ za milion wyjściowych). To jest cena, przy której wielogodzinna sesja analizy cudzego kodu przestaje być decyzją budżetową i staje się decyzją o tym, komu wysyła się ten kod.
Ograniczenie zabrało 9,5 punktu, jedna generacja dodała 47,7
Tu zaczyna się problem z narracją o odpowiedzialnym wydaniu. Usunięcie danych obniżyło wynik z 90,5% do 81,0%, czyli o 9,5 punktu procentowego. Różnica między poprzednią a obecną generacją otwartych wag tego samego dostawcy wynosi 47,7 punktu, z 33,3% na 81,0%. Firma sama przyznaje, że ogólne umiejętności kodowania i wielogodzinnego debugowania przenoszą się na zadania ofensywne nawet po wycięciu danych tematycznych. Skalowanie daje pięć razy więcej, niż zabiera filtrowanie korpusu.
Wszystkie te liczby pochodzą od producenta, z testu, którego nikt poza nim nie widział i nie zostały niezależnie zweryfikowane. Jak taka asymetria wygląda w praktyce, pokazała amerykańska agencja standaryzacyjna: w ocenie modelu DeepSeek V4 Pro z kwietnia 2026 NIST CAISI ustalił, że według danych dostawcy model dorównuje najnowszym modelom zachodnim, a według testów z pulą zadań niejawnych odpowiada poziomowi sprzed ośmiu miesięcy. Deklaracja o usunięciu danych cyber należy do tej samej kategorii: jest sprawdzalna wyłącznie przez tego, kto ją złożył.
Widać to też w zestawieniu benchmarków dołączonym do noty. Kimi K3.1 Pro wygrywa tam z Claude Opus 5.5 na teście długich zadań inżynierskich SWE Marathon (51,7 wobec 46,3) i na egzaminie dla agentów Agents’ Last Exam (43,2 wobec 42,6), ale na Terminal-Bench Science przegrywa z GPT-6 Astra o trzydzieści punktów (38,1 wobec 68,1). Pod wykresami producent zaznacza, że wszystkie modele testowano na maksymalnym wysiłku rozumowania, wyniki modeli Claude mogą obejmować zachowania awaryjne, a modele GPT mogły mieć włączone mechanizmy ochronne dla zadań cyber. Innymi słowy dostawca porównuje swój model, celowo pozbawiony części wiedzy ofensywnej na etapie treningu, z modelami, które mogły w trakcie testu pracować z aktywnymi zabezpieczeniami. Przy takim zastrzeżeniu zdanie o pozostawaniu za czołówką zamkniętą przestaje znaczyć cokolwiek mierzalnego.
4 listopada decyzja przestaje być odwracalna
Dopóki model działa tylko przez API, dostawca może zmienić filtry, dołożyć kontrolę treści albo odciąć konto. Po opublikowaniu wag nie może już nic. Usunięcie danych z treningu nie jest zabezpieczeniem działającym w czasie pracy modelu, tylko jednorazowym ubytkiem wiedzy, który każdy posiadacz wag może uzupełnić dotrenowaniem na własnym zbiorze. Badania nad otwartymi modelami od 2023 roku pokazują, że zabezpieczenia wszczepione na etapie dostrajania zdejmuje się niewielkim kosztem, a zdolności uznane za usunięte wracają (prace są preprintami, bez recenzji).
Dla odbiorcy w Unii zmienia się też status prawny. Otwarta licencja zwalnia dostawcę modelu ogólnego przeznaczenia z części obowiązków dokumentacyjnych, ale zgodnie z wykładnią Komisji Europejskiej zwolnienie nie obejmuje modeli z ryzykiem systemowym ani obowiązku publikacji podsumowania danych treningowych i polityki praw autorskich. Organizacja, która pobierze wagi i dostroi je pod siebie, w wielu scenariuszach sama staje się dostawcą modelu i przejmuje te obowiązki razem z wagami.
Równolegle model wszedł do narzędzi, z których zespoły korzystają codziennie. Producent udostępnił go w swoim agencie kodującym i aplikacji biurowej, a tego samego dnia pojawił się u pośredników odsprzedających dostęp do modeli przez jeden interfejs. W organizacji, która nie prowadzi listy dopuszczonych modeli, taka zmiana nie wygląda na wdrożenie nowego dostawcy, tylko na pozycję, która sama dopisała się w rozwijanej liście. W panelu korporacyjnym dostawcy model jest domyślnie wyłączony, ale to zabezpieczenie dotyczy wyłącznie kont firmowych założonych u niego, a nie kont prywatnych i kluczy API kupionych na własną rękę.
Dwie wersje tej samej polityki prywatności, dwie jurysdykcje
Większość zespołów nie będzie hostować 2,8 biliona parametrów u siebie, tylko kliknie model w API albo u pośrednika. Sprawdziłem więc, co dostawca mówi o danych. Angielska wersja polityki prywatności platformy wskazuje jako podmiot odpowiedzialny spółkę MOONSHOT AI PTE. LTD. z Singapuru i stwierdza, że zebrane informacje są przechowywane na serwerach w Singapurze. Chińska wersja tego samego dokumentu, w punkcie 5.1, mówi, że dane osobowe są przechowywane na terytorium Chińskiej Republiki Ludowej i nie są przekazywane poza nia bez odrębnej zgody. Oba dokumenty odczytałem 23 października 2026.
Do tego dochodzi rozjazd w opisie treningu: polityka platformy wymienia treści użytkownika wśród danych, które pomagają optymalizować modele, a centrum pomocy zapewnia, że dane z API do trenowania nie trafiają. Tryb zerowej retencji jest dostępny wyłącznie dla klientów korporacyjnych na wniosek i nie obejmuje zadań wsadowych, plików graficznych wysyłanych przez API ani danych operacyjnych. Przy ocenie transferu danych poza EOG to nie są niuanse, tylko podstawa do uznania, że miejsce przetwarzania jest nieustalone.
Co z tego wynika dla polskiej organizacji?
Model nie jest jeszcze do pobrania, więc to jest ten moment, w którym przegląd da się zrobić spokojnie, a nie po fakcie. Trzy rzeczy do zrobienia w tym tygodniu:
- Przejrzyj logi bramy i serwera proxy z ostatnich 30 dni pod kątem ruchu do domen dostawcy i pośredników, przez których jego modele są odsprzedawane. Jeśli ruch jest, ustal kto go generuje i co wychodzi w treści zapytań, zanim zdecydujesz, czy go blokować.
- Sprawdź na stacjach deweloperskich konfigurację agentów kodujących: zmienną z adresem bazowym API i klucz w zmiennych środowiskowych oraz w plikach konfiguracyjnych narzędzi. Podmiana endpointu zgodnego ze standardem OpenAI na inny jest kwestią jednej linii i nie zmienia niczego w interfejsie, więc bez tego przeglądu polityka dopuszczonych modeli pozostaje deklaracją.
- Jeśli planujesz uruchomić otwarte wagi u siebie po 4 listopada, zapisz w rejestrze systemów AI, kto jest dostawcą modelu po dostrojeniu, i zaplanuj własne logowanie promptów. Przy zerowej retencji po stronie dostawcy nie ma czego odtworzyć po incydencie, co potwierdza sama dokumentacja trybu.
Liczba, którą warto zapamiętać
Nie 81% i nie 90,5%, tylko 9,5 punktu procentowego. Tyle wynosi cała różnica między modelem, o którym producent mówi, że ograniczył jego możliwości ofensywne, a modelem, w którym niczego nie ograniczał. Za dwa tygodnie ta różnica będzie zależała wyłącznie od tego, czy ktoś z pobranymi wagami zechce ją odwrócić, a nikt poza nim nie będzie o tym wiedział.
Planowanie obrony pod założenie, że umiejętność budowania exploitów pozostanie droga i rzadka, właśnie straciło podstawę. Zostaje to, co działa niezależnie od tego, kto i czym skanuje: tempo łatania liczone w dniach, segmentacja, kontrola ruchu wychodzącego i logi, które przeżyją incydent.