Zwei staatliche KI-Sicherheitsinstitute aus Großbritannien und den USA haben das offene chinesische Modell Kimi K3 auf seine Angriffsfähigkeiten geprüft. Das Ergebnis widerspricht der verbreiteten Sorge vor chinesischer Cyber-KI: Bei echten Exploits liegt Kimi K3 deutlich hinter den führenden US-Modellen. Zugleich hielten die eigenen Schutzmechanismen offensive Aufträge nicht auf.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 4 Abschnitte
Kimi K3 löste in einem nachgestellten Angriffsszenario mit 32 Schritten im Schnitt nur 17, die stärksten US-Modelle kamen auf 28,5. Diese Zahlen stammen nicht aus einem Marketing-Blog, sondern aus einer gemeinsamen Prüfung des britischen AI Security Institute und des amerikanischen CAISI. Für Entscheider, die offene Modelle im eigenen Haus betreiben wollen, verschiebt der Befund die eigentliche Risikofrage.
Das Wichtigste in Kürze
- Auf dem öffentlichen Exploit-Benchmark erreichte Kimi K3 32 Prozent; ausführbaren Angriffscode brachte es in keinem der 41 Testfälle zustande, die besten US-Modelle im Schnitt in 20.
- Im nachgestellten Firmennetz kam Kimi K3 bis Schritt 17 von 32, die US-Spitze bis 28,5.
- Die Schutzmechanismen des Modells verhinderten offensive Cyber-Aufträge nicht.
- Das Weiße Haus wirft dem Hersteller Moonshot AI vor, das Modell aus einem US-Modell nachgebaut zu haben; Fachleute bezweifeln das.
Was hat die Prüfung von Kimi K3 ergeben?
Das britische AI Security Institute und das US-Pendant CAISI haben Moonshot AIs neues Modell auf zwei Wegen getestet.[1] Auf dem öffentlichen Exploit-Benchmark, der die Entwicklung von Angriffscode für 41 Sicherheitslücken misst, erreichte Kimi K3 32 Prozent; das verwandte chinesische Modell GLM-5.2 kam auf 24 Prozent.
Entscheidend ist die schärfere Kennzahl. Ausführbaren Angriffscode brachte Kimi K3 in keinem einzigen der 41 Fälle zustande, die stärksten US-Modelle im Schnitt in 20. Im zweiten Test, einem nachgestellten Netz aus rund 20 Rechnern, arbeitete sich Kimi K3 bis Schritt 17 des 32-stufigen Angriffspfads vor, die führenden US-Modelle bis Schritt 28,5. Dass KI-Agenten reale Systeme angreifen können, ist keine Theorie mehr, wie zuletzt ein Vorfall bei OpenAI gezeigt hat.
Warum hackt ein offenes Spitzenmodell schlechter?
Auf allgemeinen Aufgaben spielt Kimi K3 in der Weltspitze mit, bei der Tiefe eines echten Angriffs fällt es ab. Genau diese Spreizung deutet auf die Trainingsmethode hin. Wird ein Modell überwiegend aus den Antworten westlicher Spitzenmodelle nachgebaut, erbt es deren Alltagswissen, aber nicht das, was diese Modelle bewusst zurückhalten.
Die Sicherheitssysteme von Anthropics Claude etwa blockieren fortgeschrittene Angriffsanfragen. Ein Modell, das auf solchen gefilterten Ausgaben trainiert wird, bekommt die Angriffstiefe nie geliefert. Das Weiße Haus geht weiter: Wissenschaftsberater Michael Kratsios wirft Moonshot vor, Kimi K3 durch Destillation von Anthropics Modell Fable gebaut zu haben. Moonshot bestreitet das, und Fachleute halten den Vorwurf für fragwürdig, weil Fable erst seit Anfang Juli öffentlich ist.
Für die Praxis zählt der zweite Befund mehr als die Rangliste. Die Schutzmechanismen von Kimi K3 stoppten die Angriffsversuche im Test nicht, und bei einem offenen Modell lassen sich solche Schranken nach dem Herunterladen der Gewichte ohnehin entfernen. Auch die Debatte um ein Verbot chinesischer Open-Weight-KI dreht sich am Kern vorbei, solange nicht Fähigkeiten und Schutzverhalten gemessen werden.
Die eigentliche Gefahr offener Modelle steckt nicht in einer hohen Benchmark-Zahl, sondern in fehlenden Schutzschranken, die sich nach dem Download entfernen lassen.
Michael Dobler, Herausgeber Dr. Web
Was bedeutet das für Unternehmen im DACH-Raum?
Für deutsche Entscheider verschiebt der Test die Prüffrage. Nicht die Herkunft eines Modells entscheidet über das Cyber-Risiko, sondern seine tatsächlichen Fähigkeiten und die Frage, ob die Schutzmechanismen greifen.
Der EU AI Act nimmt genau diesen Punkt auf. Allgemeine KI-Modelle mit systemischem Risiko müssen sich einer gegnerischen Sicherheitsprüfung stellen, auch als offene Modelle. Betreibt ein Unternehmen ein solches Modell selbst, etwa über europäische Inferenz-Angebote, trägt es die Verantwortung für entfernte Schranken mit.
Konkret heißt das, jedes Kandidatenmodell vor dem Einsatz selbst auf offensive Fähigkeiten und Verweigerungsverhalten zu prüfen, statt sich auf Herkunft oder Benchmark-Rang zu verlassen. Ein offenes Modell im Eigenbetrieb verlangt zusätzlich, vorab die eigene Haftung unter dem AI Act zu klären und die Angriffsflächen unabhängig vom Modell abzusichern. Bei offenen Modellen zählt am Ende der eigene Test vor dem Einsatz, nicht das Herkunftsschild.
Quelle
[1] UK AI Security Institute und CAISI: „Preliminary Assessment of Kimi K3’s Cyber Capabilities“
Mehr Newshunger?
- Kimi K3: Chinas offenes KI-Modell erreicht die Weltspitze zu einem Bruchteil der Kosten
- Fast 200 Startups warnen die US-Regierung vor einem Verbot chinesischer Open-Weight-KI
- OpenAIs KI-Agent durchbricht die Testumgebung und hackt Hugging Face
- Claude Opus 5: Anthropic setzt auf Kosten statt Benchmark-Krone
- Der Pelikan-Benchmark: Trainieren KI-Labore heimlich für den berühmten Test?
