Kimi K3が発表されて以来、中国製AIが米国の技術的優位を脅かしつつあるという「Kimi Panic」がテック業界で語られてきた。そこへ2026年7月23日、英国のAI安全保障研究所(UK AISI)と米国立標準技術研究所(NIST)傘下のCAISIが共同で、Kimi K3のサイバー攻撃能力を測定した政府公認の評価結果を公表した。ExploitBenchのスコアはKimi K3が32%、米トップモデル平均は約76%——数字だけを見れば米国の圧勝に見える。だが米モデルは安全対策を無効化して測定した一方、Kimi K3はホスティング事情による限定的な条件でしか評価されておらず、発表自体も米政府がMoonshot AIを蒸留疑惑で批判した直後というタイミングだった。
ExploitBenchとTLOが記録した、Kimi K3と米モデルの差
UK AISIと米CAISIは2026年7月23日、Kimi K3のサイバー攻撃能力を測定した予備評価を共同公表した。Kimi K3は同年7月16日に発表された中国Moonshot AI製の大規模言語モデル(LLM)で、7月27日にオープンウェイトとして公開される予定だった。今回の評価はその公開直前というタイミングで行われ、政府機関が中国製フロンティアモデルの実戦的なサイバーリスクを測定した数少ない事例の一つとなった。AISIとCAISI自身、発表のタイトルでこれを「予備評価(preliminary assessment)」と位置づけている。
カーネギーメロン大学が開発した評価環境ExploitBenchでは、実在する41件のV8脆弱性への攻略を試みさせた。AISIとCAISIが公開した結果グラフによれば、Kimi K3のスコアは32.2%にとどまり、同時期に評価されたZ.ai(旧Zhipu AI)のGLM-5.2の24.4%を上回ったものの、米トップモデル平均の76.2%には遠く及ばなかった。さらに厳しい基準となる任意コード実行(Arbitrary Code Execution、以下ACE)の達成件数を見ると差はより鮮明になる。Kimi K3は41件中0件だったのに対し、米トップモデルの平均は20件に達した。
模擬企業ネットワークへの侵入を32ステップに分解して測定するThe Last Ones(TLO)でも傾向は同じだった。Kimi K3の平均到達ステップは17で、10回の試行のうち完走できたのは1回のみだった。米トップモデルの平均到達ステップは28.5、GLM-5.2は11にとどまった。過去の評価では米モデル4種が完走に成功しており、上位モデルは10回中6回や7回という完走率を記録している。この差は、Kimi K3が模擬環境の後半に相当する権限奪取や横移動の段階でつまずいている可能性を示している。
V8の脆弱性から侵入32ステップまで、何を測る設計なのか
ExploitBenchが対象とするV8は、Google ChromeやNode.jsに組み込まれているJavaScript/WebAssemblyエンジンだ。ブラウザや大量のサーバーサイドアプリケーションが依存する基盤ソフトウェアであるため、ここに存在する脆弱性は攻撃者にとって価値が高い。ExploitBenchは、公開されている41件のV8脆弱性の情報をモデルに与え、実際に動作する攻撃コードをどこまで組み立てられるかを段階的に採点する。スコアが高いほど、脆弱性の技術情報から実用的な攻撃手順への変換能力が高いことを意味する。
ただしExploitBenchのスコアは、脆弱性の理解や部分的な攻撃コードの作成といった途中段階の到達度も加点対象に含む。これに対しACEは、実際に対象システム上で任意のコードを実行できたかどうかだけを判定する、より厳格な合否基準だ。Kimi K3が41件中0件しかACEを達成できなかったという事実は、部分的な理解には至っても、実戦で使える攻撃コードの完成までは到達できなかったことを示している。言い換えれば、ExploitBenchのスコアは「攻撃の糸口をつかめたか」を、ACEは「実際に扉を開けられたか」を測っている。
TLOは4つのサブネットに分割された模擬企業ネットワークを舞台に、初期アクセスをあらかじめ与えられた状態から最終目標への到達までを32段階に分解した評価環境だ。モデルは人間のレッドチーム(擬似攻撃によるセキュリティ診断チーム)のように、各段階で次に取るべき行動を自律的に判断しながら侵入を進める。到達ステップ数が多いほど、権限昇格や横移動(ネットワーク内で侵入範囲を広げる行為)を連続して成功させる能力が高いと解釈できる。Kimi K3が10回中9回は途中で行き詰まった一方、米トップモデルは平均で全体の9割近くに相当する28.5ステップまで進んでいる。米トップモデルのこの結果は、侵入の初期段階から後半の権限奪取や横移動の局面まで、安定して成功し続けたことを意味する。
「圧勝」を額面通り受け取れない理由
この結果を数字だけで読めば、米国のフロンティアモデルが中国のKimi K3を大きく引き離しているように見える。だがAISIとCAISIの発表自体が、測定条件が対称ではなかったことを明記している。米国のクローズドモデルは、一般公開版では有効になっている安全対策を無効化した状態で測定された。攻撃を思いとどまらせる仕組みを外した、いわば「素の実力」を測る条件だ。一般公開版であれば、こうした攻撃の兆候を検知して拒否する仕組みが働く場面もあったとみられる。
一方のKimi K3について、AISIとCAISIは「Kimi K3のホスティング環境の特性上、選別的な一連のサイバー評価を実施した」と記すにとどまる(原文:"Due to the specifics of Kimi K3's hosting setup, UK AISI / CAISI ran a selective set of cyber evaluations.")。具体的にどの評価項目が除外されたのか、レート制限やAPIアクセス制限といった理由は発表文のどこにも明かされていない。それでもKimi K3自身の安全対策は、エクスプロイト開発の試行そのものを妨げなかったとAISIとCAISIは記している。低いスコアは能力不足の結果であり、安全対策による拒否が原因ではなかったとみられる。
AISIとCAISIの発表は、こうした条件の違いがあった事実そのものは隠していない。しかし、除外した評価項目の範囲や、それが結果の公平性にどう影響するかについては説明を加えていない。安全対策を外した状態の米モデルと、評価範囲が絞られた状態のKimi K3を並べて「差は歴然」と結論づけるには、もう一段の説明が必要なはずだ。The Decoderなど複数メディアはこの結果を蒸留疑惑と結びつけて報じており、条件の違いよりも数字の大きさが強調される形で広がった。
蒸留疑惑批判の翌日、透ける発表の順番
米科学技術政策局のKratsios局長は、7月22日にMoonshot AIがAnthropicの「Fable」を不正に蒸留したと非難していた。具体的な不正アカウント数やインタラクション数は報道によって食い違うため本稿では立ち入らないが、Moonshot AI批判が先に表面化していたことは複数の報道が伝えている。その翌日にあたる7月23日、AISIとCAISIはKimi K3のサイバー能力が米国に大きく劣るとする評価を公表した。米政権内には中国製AIの急速な追い上げへの警戒論と、過度な規制を避けたいという論が併存しており、この発表順序にはその緊張関係が透けて見える。
さらに同じ7月23日、ホワイトハウスで元AI政策責任者を務めたDavid Sacks氏がX上で「Kimiパニックはもう終わりにすべきだ」と投稿した(原文:"The Kimi Panic needs to stop")。続けて「トランプ大統領の軽い規制アプローチは機能している……不要な規制で自らを妨害しない限り、米国は勝ち続ける」とも述べた(原文:"President Trump's light-touch regulatory approach is working…As long as we don't sabotage ourselves with unnecessary rules, the US will continue to win.")。蒸留疑惑への批判、政府による性能評価の公表、政権寄りの論客による火消し投稿が、7月22日から23日のわずか2日間に連続したことになる。
評価のペース自体も加速している。GLM-5.2は6月16日の公開から評価公表(7月17日)まで31日を要したのに対し、Kimi K3は7月16日の公開からわずか7日で評価が公表された。単純計算で4倍以上の速さだ。Fortuneは、こうした中国製AIをめぐる市場の動揺を2025年1月のDeepSeek Shockと同型の構図だと報じており、技術評価の公表によって動揺を鎮めるという流れが繰り返されている。TheGlobePostが報じた個別の事実を重ねると、この構図で得をするのはSacks氏やNVIDIAのJensen Huang氏(CEO)らオープンウェイト擁護派であり、規制強化を主張する側に回りやすいのはIPO前のAnthropicやOpenAIという輪郭が浮かぶ。
日本のAI安全機関はまだ同じ物差しを持っていない
日本にも同種の機関は存在する。情報処理推進機構(IPA)が所管する日本のAIセーフティ・インスティテュートは2024年2月に設立され、レッドチーミング(擬似攻撃によるセキュリティ診断)の手法ガイドも策定済みだ。だが今回のようにKimi K3やGLM-5.2といった中国製フロンティアモデルを対象にしたサイバー攻撃能力の実測評価を実施した記録は見当たらない。英米が実戦的なリスク評価を政府機関の役割として制度化しつつある一方、日本はまだ手法整備の段階にとどまっている。
7月27日に予定されるオープンウェイト公開後は、政府機関に限らず学術機関や独立系のセキュリティ研究者も同一条件下でKimi K3を検証できるようになる。GLM-5.2からKimi K3にかけて評価公表までの期間が4倍以上縮まった流れを踏まえると、次の中国製モデルに対する評価はさらに早いサイクルで登場する可能性がある。日本企業がKimi K3のようなオープンウェイトモデルを業務に採用する際も、政府による第三者評価の有無は判断材料の一つになるはずだ。それが技術的な脅威度を正確に映した数字なのか、政治的な文脈を映した数字なのかは、条件をそろえた再評価が積み重なるまで見極めがつかない。
