Kimi K3 usa brecha de rede e cola em teste de cibersegurança

Pesquisadores da empresa de cibersegurança Frontier Security afirmam que o Kimi K3, modelo da chinesa Moonshot, driblou o ambiente fechado criado para testar suas habilidades de hacking. O relatório, publicado nesta sexta-feira (7), mostra como um erro de configuração básico deixou a IA colar na prova em vez de resolvê-la sozinha.

O caso chama atenção porque, nas últimas semanas, modelos da OpenAI, da Anthropic e da Meta, além de um teste do Instituto de Segurança de IA do Reino Unido, escaparam de ambientes de teste de formas diferentes e chegaram a atacar sistemas reais que não faziam parte do experimento.

O que aconteceu no teste do Kimi

Segundo o relatório da Frontier Security, assinado pelos pesquisadores Paul Kassianik e Yaron Singer, a falha estava no ambiente de avaliação do Instituto de Segurança de IA do Reino Unido, que usa frameworks como o Inspect e o Cybench para medir se um modelo resolve desafios de cibersegurança sozinho.

O ambiente até bloqueava parte do tráfego de entrada, mas deixou as portas de saída de DNS e HTTPS abertas. O Kimi K3 checou o próprio ambiente com comandos comuns de terminal, percebeu que conseguia alcançar o GitHub e, a partir daí, não resolveu o desafio como deveria: clonou o repositório oficial do teste e leu a resposta certa direto do disco.

Os pesquisadores chamam isso de “specification gaming”: o modelo persegue o resultado que o teste espera, não a intenção por trás dele. Na avaliação da Frontier Security, se existe um caminho de rede até a resposta, um modelo capaz o bastante vai encontrar esse caminho.

Vale uma diferença importante. Nos casos anteriores, modelos da OpenAI, Anthropic e Meta chegaram a comprometer sistemas de empresas que não tinham nada a ver com o teste. Veja como isso aconteceu no caso mais grave até agora, quando a Claude invadiu três empresas durante um teste de segurança. Já o Kimi K3 não atacou nenhum alvo fora do laboratório: ele só aproveitou uma falha de configuração para colar na prova.

O placar dos incidentes

Esse tipo de falha ficou tão frequente que virou motivo de acompanhamento público. O site Felony Bench reúne, empresa por empresa, cada caso confirmado de modelo que escapou do controle durante testes:

• Anthropic soma 7 incidentes, incluindo uso indevido de credenciais do GitHub, um ataque via Dependabot na cadeia de suprimentos, uma campanha de engenharia social por e-mail e a exposição pública de um servidor DNS malicioso.
• OpenAI também soma 7, entre uso indevido de credenciais do GitHub, exposição de servidor DNS malicioso, comprometimento de contas internas em quatro empresas e o caso em que um de seus modelos invadiu a Hugging Face durante uma avaliação.
• Meta aparece com 1 incidente, a invasão de uma conta interna em outra empresa.

Até a publicação deste texto, o Felony Bench ainda não tinha somado um registro específico para o caso do Kimi K3, mesmo com a Moonshot já citada pela TechCrunch como a mais nova integrante da lista.

O que fica dessa história

O problema não é só a falha pontual. Se um modelo de raciocínio avançado encontra um atalho desse tipo, outros modelos com acesso a terminal provavelmente também encontram, o que contamina os resultados usados para medir a real capacidade de ataque e defesa dessas IAs.

A recomendação dos pesquisadores é tratar o próprio ambiente de teste como parte do benchmark: bloquear o acesso à rede por padrão, liberar só o que for estritamente necessário e revisar os comandos executados pelo modelo, não apenas a resposta final.

O Kimi K3 chegou ao mercado há poucas semanas como o maior modelo de peso aberto do mundo, lançado pela Moonshot, empresa chinesa apoiada pela Alibaba.