米国政府は、中国の最新AIモデルに対しハッキングテストを実施した。その結果、ムーンショットAIのKimi K3は米国製トップモデルには大きく及ばないことが判明した。
米国のAI標準化・イノベーションセンター（CAISI）が英政府機関と共同で本テストを運営した。結果発表は、ワシントンがムーンショットが米国の技術を盗用してKimi K3を開発したと非難した翌日だった。
Kimi K3、米サイバー基準で基準下回る
商務省は木曜日にこの結果を公表した。Kimi K3の評価は米国製トップモデルを大きく下回った。共同テストには英国専門家も参加している。報告でも指摘されている。
ムーンショットはKimi K3を7月16日に発表した。需要が急増し、2日で新規申込受付が停止となった。
この発表は米国半導体株にも影響を及ぼし、米国のAI優位に新たな疑問を投げかけた。
カーネギーメロン大が開発した実際のChromeブラウザ脆弱性を用いた「ExploitBench」というテストでは、Kimi K3のスコアは32%。中国製GLM-5.2（24%）は上回ったが、米国製トップモデル（約76%）には及ばなかった。
最も難易度が高いとされるターゲットマシンの完全制御工程で、Kimi K3は41テスト全てで失敗した。米国トップモデルは20回成功した。
別の「The Last Ones」テストでは、架空の企業ネットワークで32段階の攻撃過程を試す。専門家が完遂に約20時間かかる。Kimi K3は平均で17段階に到達。米国モデルは28.5段階に達した。Kimi K3は10回中1回だけ全工程をクリアした。
米国のシステムは6回または7回クリアしたとされる。
しかし、数値以上に差が大きく見える可能性も
ただし、数字だけでは全てを語れない。報告書の詳細には複数の留意点がある。
まず、米国モデルは安全フィルターを無効にした状態でテストされている。この設定で最大能力を測定している。一般利用時はフィルターが有効であるため、米国モデルのスコアはあくまで理論値で実環境ではない。
また、今回の評価は初期段階かつ限定的なものだった。Kimi K3は1つのテストの一部工程のみで採点されており、総合評価には不十分。非公開のテストも含まれ、外部による検証が難しい面もある。
さらに、重大な違いがある。Kimi K3は誰でもダウンロードできるオープンモデルだが、米国モデルはロックされた非公開モデルである。英国の研究所は調査で、オープンモデルがトップのクローズドモデルに対し4～7か月遅れている傾向を指摘した。ムーンショットが正式公開した後には総合テストを実施する予定。
また、これらは実際の攻撃ではない。模擬ネットワーク上で防御担当者も警報システムもない。それでもKimi K3は直前のトップオープンモデルを上回り、1度は全工程を完了した。
また、発表時期や運営機関にも注目が集まる。CAISIは以前は米AIセーフティインスティテュートと呼ばれた。トランプ政権が2025年6月に改称した組織であり、米国から中国への半導体供給制限も担当する部門に所属する。中国企業に対する盗用主張の翌日に本報告が出された。
脆弱な安全対策、リスクを拡大
しかし得点が低いからといってKimi K3が安全とは限らない。今回のテストでは、同モデルのガードレールが攻撃ツール開発やシステム攻撃を阻止できないことも確認された。
今後のリリースでもこのリスクが重要になりそうだ。ムーンショットは7月27日にフルバージョンを一般公開予定。一度公開されれば、取り消しはできない。誰でもダウンロード可能となり、安全フィルターを外すことも容易。
また今回のテストは盗用疑惑の直後に実施された。ワシントンはムーンショットが米国AI技術を盗用してKimi K3を開発したと主張。ホワイトハウスの技術責任者マイケル・クラツィオス氏は、同社がアンソロピック社のClaude Fable 5を秘密裏にコピーしたと話す。こうした真似の手法「ディスティレーション」とは、強力なモデルの出力を模倣して新モデルを学習させるもの。
アンソロピック社も盗用主張を支持。2月には340万件以上のClaudeチャットがムーンショットに渡っていたことを、数百の偽アカウント経由で突き止めたという。コピーされたモデルはオリジナルの安全管理機能を持たないとも警告。それは今回のテストでも明らかになった弱点と一致する。
米国は今もAIに中国の23倍の資金を投じている。ただし中国の研究拠点が急速に差を縮めている。Kimi K3が正式公開され、外部専門家の検証が入ることが真の実力試験となる。
