Moonshot réduit les capacités de piratage de Kimi K3.1 Pro avant sa mise à disposition en accès libre et l’entrée en vigueur des règles chinoises sur les exportations

Un score en baisse en matière de piratage, mais un modèle plus performant

La start-up pékinoise Moonshot AI affirme avoir réduit les capacités de piratage offensif de Kimi K3.1 Pro avant la publication prévue des fichiers du modèle, d’ici au 4 novembre 2026. Ces modifications ont fait baisser son score à un test interne d’exploitation de failles logicielles, de 90,5 % à 81,0 %, même si le modèle reste très au-dessus de son prédécesseur, qui avait obtenu 33,3 %.

Moonshot a lancé K3.1 Pro le 23 octobre et présenté les mesures de restriction dans un communiqué publié le 24 octobre. L’entreprise a supprimé des contenus utilisés pour enseigner certaines compétences en cybersécurité, tout en conservant les capacités générales de programmation qui rendent le modèle utile pour créer et réparer des logiciels.

L’annonce intervient huit jours après que le ministère chinois du Commerce et le ministère des Sciences et des Technologies ont proposé de nouveaux contrôles à l’exportation de technologies. Ces propositions interdiraient l’exportation de technologies permettant de générer et de modifier du code malveillant à l’aide de l’IA, tout en soumettant à des restrictions les technologies qui utilisent l’IA pour détecter des vulnérabilités logicielles.

La sortie de Moonshot fait converger ces deux enjeux : le niveau de capacité de piratage acceptable pour un modèle largement téléchargeable, et la manière dont les gouvernements devraient réglementer les technologies pouvant aider aussi bien les défenseurs que les attaquants informatiques.

Pour expliquer les limites qu’elle entend fixer à cette publication, Moonshot a déclaré :

Nous ne souhaitons pas publier de poids en accès libre qui repousseraient les limites absolues des capacités en cybersécurité.

Les poids de l’entreprise sont les fichiers qui contiennent ce que le modèle a appris. Leur publication permet à des développeurs externes d’exécuter et de modifier le système sur leurs propres ordinateurs. Les utilisateurs gagnent ainsi en contrôle, mais Moonshot a moins de moyens de gérer les accès ou de modifier les protections une fois les copies diffusées.

Ce que Moonshot a supprimé

Selon Moonshot, des contenus liés à la cybersécurité ont été intégrés au développement du modèle par deux voies : un corpus général d’entraînement utilisé lors d’une étape intermédiaire, et des tâches de cybersécurité incluses dans des environnements d’apprentissage par renforcement. Cette méthode améliore un modèle en lui faisant répéter des tâches et en lui fournissant des retours sur ses performances.

L’entreprise a supprimé les contenus de cybersécurité de ces deux étapes, tout en conservant les tâches générales de programmation. Son test interne, baptisé xdev-bench-hard, évalue si un modèle peut reproduire des vulnérabilités logicielles divulguées récemment et élaborer des méthodes pour les exploiter. La réussite est comptabilisée dans la limite de trois tentatives.

Le test porte notamment sur des vulnérabilités de logiciels tels que le noyau Linux, Node.js et JavaScriptCore. Ces composants servent à faire fonctionner des systèmes d’exploitation, des applications serveur et du code JavaScript. Un exploit est une méthode qui transforme une faille logicielle en action, par exemple obtenir un accès ou faire fonctionner un programme d’une manière imprévue.

Après le filtrage, le score de K3.1 Pro a baissé de 9,5 points de pourcentage, passant de 90,5 % à 81,0 %. DeepSeek V4.1-Flash a obtenu 85,7 % dans la même comparaison interne, plaçant le modèle Kimi filtré derrière ce concurrent.

Kimi K3, son prédécesseur, avait obtenu 33,3 %. Le modèle qui lui succède après filtrage conserve donc une avance de 47,7 points de pourcentage, ce qui montre les progrès accomplis dans ces tâches malgré les suppressions ciblées.

Pourquoi la programmation générale compte aussi pour le piratage

Moonshot attribue en partie les capacités restantes en cybersécurité aux progrès réalisés en programmation générale et en débogage sur de longues séquences de travail. Un modèle capable d’examiner du code, de suivre une erreur dans plusieurs fichiers et de tester différentes réparations peut aussi mettre ces compétences à profit pour repérer et exploiter des failles.

Dans son blog consacré au lancement, l’entreprise a expliqué ce lien ainsi :

progresse nettement par rapport à son prédécesseur, ce qui montre que de meilleures capacités générales en programmation et en débogage sur de longues séquences se généralisent aux tâches de cybersécurité, même après la suppression ciblée de données.

Les défenseurs des logiciels peuvent se servir de ces capacités pour examiner des systèmes anciens qui reçoivent peu d’attention, un avantage mis en avant par Moonshot pour justifier la publication des poids en accès libre. Une organisation pourrait exécuter le modèle en local et analyser les logiciels dont elle assure la maintenance.

Les attaquants peuvent utiliser des capacités similaires pour rechercher des failles et automatiser certaines étapes d’une intrusion. Le problème pratique dépasse donc la question de savoir si un modèle a été entraîné sur des exemples explicitement malveillants : des compétences utiles en programmation peuvent aussi être mobilisées à des fins offensives.

Moonshot n’a pas publié son test xdev-bench-hard et ses résultats n’ont pas fait l’objet d’une vérification indépendante. L’entreprise n’a pas non plus expliqué si des développeurs externes pourraient rétablir, par un entraînement supplémentaire, les capacités supprimées avant la publication. Ces questions sont essentielles pour évaluer un modèle dont les utilisateurs pourront modifier les fichiers.

Les résultats des tests gouvernementaux sur Kimi K3

Le UK Artificial Intelligence Security Institute et le Center for AI Standards and Innovation des États-Unis avaient précédemment évalué Kimi K3, lancé le 16 juillet 2026, avec une publication de ses poids en accès libre prévue pour le 27 juillet. Leur évaluation conjointe de ses capacités en cybersécurité constitue un point de comparaison indépendant pour son prédécesseur.

K3 a obtenu 32 % à ExploitBench, contre 24 % pour GLM-5.2. Développé par l’université Carnegie Mellon, ce test mesure les progrès dans l’exploitation de 41 vulnérabilités de V8, le moteur logiciel qui exécute JavaScript et WebAssembly dans Chrome.

K3 n’a réussi à exécuter du code arbitraire sur aucun des 41 échantillons. Les modèles les mieux classés y sont parvenus sur 20 échantillons en moyenne. L’exécution de code arbitraire consiste à faire exécuter à une cible les commandes choisies par un attaquant. C’est une conséquence particulièrement grave, car elle peut lui donner le contrôle du système.

Les instituts ont également testé K3 sur The Last Ones, un réseau d’entreprise simulé comprenant environ 20 ordinateurs répartis sur quatre segments réseau. L’exercice comporte 32 étapes d’attaque et prendrait environ 20 heures à un expert humain.

Dans la limite de 100 millions de jetons, K3 a atteint en moyenne l’étape 17, contre l’étape 11 pour GLM-5.2 et 28,5 pour les principaux modèles américains. K3 a terminé l’exercice lors d’une tentative sur dix. Les modèles les plus performants l’ont achevé lors de six ou sept tentatives sur dix.

Comment interpréter les limites des tests

Les instituts britannique et américain ont indiqué que les protections de K3 lui permettaient de tenter de développer des exploits et de mener des opérations offensives en cybersécurité lors de leurs évaluations. Leurs résultats situent K3 au-dessus d’un précédent modèle de premier plan doté de poids en accès libre, mais en dessous des modèles les plus performants qu’ils ont testés.

L’exercice The Last Ones commençait par un accès initial au réseau. Il comportait un parcours d’attaque prévu à cet effet, ne comprenait ni défenseurs ni outils de protection actifs et ne pénalisait pas les comportements susceptibles de déclencher des alertes de sécurité. Ces conditions offraient au modèle un environnement structuré pour mener une attaque.

Les instituts ont qualifié leurs évaluations de préliminaires et de sélectives. L’estimation globale des capacités de K3 reposait sur un seul test, ce qui entraîne une incertitude statistique supérieure à celle des estimations établies à partir d’un éventail plus large de tâches.

Les modèles américains à poids fermés ont été testés avec leurs protections système désactivées, afin que les évaluateurs puissent mesurer leurs capacités maximales en limitant les refus. Ces protections sont activées dans les versions publiques. Pour comparer les résultats, il faut donc tenir compte à la fois des compétences intrinsèques du modèle et des contrôles associés au service utilisé pour y accéder.

Le nouveau résultat de 81,0 % obtenu par K3.1 Pro provient d’un test interne différent, conçu par Moonshot. La comparaison avec K3 est surtout pertinente dans le cadre de ce même test, où le prédécesseur a obtenu 33,3 %. Une évaluation indépendante de la nouvelle version permettrait aux équipes de sécurité de juger ses capacités sur des bases plus solides.

La Chine propose des interdictions et des restrictions

Le 16 octobre 2026, les deux ministères chinois ont publié l’annonce n° 48. Le texte sollicite des commentaires sur la révision du Catalogue des technologies interdites et soumises à restrictions à l’exportation. Les contributions peuvent être envoyées jusqu’au 15 novembre.

Les ajouts proposés concernent 40 technologies : 23 dans l’IA, cinq dans la biomédecine et 12 dans la fabrication de panneaux solaires. Dans ces trois domaines, 14 technologies seraient interdites à l’exportation et 26 soumises à des restrictions.

Les catégories liées à l’IA comprennent les grands modèles, les agents, les grappes de calcul et le traitement de l’information. Les agents sont des systèmes qui utilisent des outils et enchaînent des actions en vue d’un objectif, au lieu de se contenter de répondre à une seule question.

Les technologies d’IA permettant de générer et de modifier du code malveillant figurent parmi les exportations qui seraient interdites. Celles qui servent à détecter des vulnérabilités figurent parmi les exportations qui seraient soumises à des restrictions. La distinction est importante : l’interdiction bloquerait les exportations concernées, tandis que les restrictions soumettraient les transferts visés à des contrôles à l’exportation.

Dans son explication de la politique proposée, le ministère du Commerce affirme que ces technologies pourraient servir à attaquer des infrastructures d’information critiques, des systèmes de l’industrie de la défense et des systèmes gouvernementaux essentiels, ou à contourner des protections de sécurité. Le ministère présente cette révision comme une mesure courante de gestion du commerce des technologies, qui ne vise aucun pays, région ou entité en particulier.

L’enregistrement commence avant l’adoption des règles définitives

La révision proposée du catalogue chinois est toujours en consultation, mais les obligations temporaires d’enregistrement sont entrées en vigueur dès la publication de l’annonce du 16 octobre. Les exportateurs doivent enregistrer les transferts de technologies concernés avant leur exportation, jusqu’à l’entrée en vigueur du catalogue révisé. Les transferts déjà en cours mais pas encore achevés sont également concernés.

Le texte mentionne plusieurs opérations concernées : le transfert à l’étranger de la propriété d’une technologie, l’octroi d’une licence permettant d’utiliser une technologie nationale à l’étranger, ainsi que les changements qui placent la propriété ou le contrôle effectif d’une technologie nationale entre des mains étrangères.

L’enregistrement se fait au moyen de la demande relative au commerce des technologies du ministère du Commerce, sur sa plateforme professionnelle unifiée. Les exportateurs doivent fournir plusieurs renseignements, notamment sur l’exportateur et le destinataire, le pays ou la région de destination, la technologie, l’usage prévu et la valeur estimée de l’exportation.

Le ministère distingue également le transfert d’une technologie de l’accès à un service. Selon son interprétation des règles proposées, le déploiement local à l’étranger d’une technologie d’IA soumise à restrictions relèverait de la gestion des exportations. Certains cas, comme le déploiement dans le cloud à l’étranger de sa propre entreprise, pourraient bénéficier de procédures d’autorisation automatiques.

L’accès à un modèle par API, application, site web ou logiciel en tant que service ne relèverait pas de la catégorie des exportations de technologies de grands modèles décrite dans l’explication. Le déploiement léger sur des appareils locaux est également exclu de cette catégorie. Une API permet à un programme informatique de demander un service à un autre, ce qui permet aux clients d’utiliser un modèle sans recevoir les fichiers sur lesquels il repose.

Un traitement spécifique pour les publications en accès libre

L’annonce chinoise exclut les technologies déjà accessibles au public par le biais de publications en source ouverte ou d’articles universitaires. Le ministère décrit également des autorisations automatiques et d’autres procédures simplifiées pour certaines exportations de technologies d’IA liées à des publications en accès libre, à la coopération internationale en matière de recherche et à des activités connexes.

La publication et le transfert comptent donc autant que les capacités techniques. Une entreprise qui propose un modèle hébergé, une autre qui transfère une technologie soumise à restrictions pour un déploiement à l’étranger et un développeur qui diffuse une technologie déjà dans le domaine public peuvent être traités différemment dans le cadre annoncé.

La publication prévue des poids par Moonshot rend ces distinctions importantes pour son déploiement à l’international. Dans ces documents, le gouvernement n’a pas rendu publique de classification de K3.1 Pro et n’a pas indiqué la date d’entrée en vigueur du catalogue définitif.

Les prochaines dates rapprochent le calendrier de publication du processus réglementaire :

• 16 juillet 2026 : lancement de Kimi K3, suivi d’une publication prévue de ses poids le 27 juillet.
• 16 octobre : la Chine publie l’annonce n° 48, ouvre la consultation et met en place l’enregistrement temporaire des exportations.
• 23 octobre : Moonshot lance K3.1 Pro.
• 24 octobre : Moonshot présente les mesures de réduction des capacités offensives en cybersécurité.
• 4 novembre : Moonshot prévoit d’avoir publié les poids de K3.1 Pro.
• 15 novembre : clôture de la consultation publique sur les révisions proposées du catalogue des exportations.

Des capacités accrues à un coût d’accès réduit

Le lancement plus large de K3.1 Pro aide à comprendre pourquoi ses capacités en cybersécurité comptent au-delà des activités spécialisées dans ce domaine. Le modèle compte 2 800 milliards de paramètres au total, dont 104 milliards de paramètres actifs, ce qui le place dans la catégorie des modèles d’environ 3 000 milliards de paramètres décrite par Moonshot. Les paramètres sont les valeurs numériques qu’un modèle apprend pendant son entraînement.

Le modèle dispose d’une fenêtre de contexte d’un million de jetons et accepte les textes et les images. Les jetons sont des fragments d’information traités par le système ; une fenêtre de contexte plus grande lui permet de traiter davantage de contenu dans une même tâche. Moonshot propose aussi K3.1 Pro Highspeed, qui, selon l’entreprise, fonctionne deux à trois fois plus vite.

Les tarifs standard de l’API sont passés de 3 à 2 dollars par million de jetons en entrée et de 15 à 10 dollars par million de jetons en sortie, soit une baisse d’un tiers. Le prix des jetons d’entrée mis en cache, qui permettent de réutiliser du contenu déjà traité, est passé de 0,30 à 0,20 dollar par million de jetons. Avec Highspeed, le tarif est de 4 dollars pour l’entrée et de 20 dollars pour la sortie par million de jetons.

L’Intelligence Index d’Artificial Analysis a classé K3.1 Pro quatrième, avec 55 points, soit 11 points de plus que K3 et trois de moins que Claude Opus 5.5, à 58 points. Dans le comparatif de programmation en terminal de Moonshot, K3.1 Pro a obtenu 65,7 %, proche des 66,4 % d’Opus 5.5. En revanche, dans les tâches scientifiques en terminal, Moonshot lui a attribué 38,1, contre 68,1 pour GPT-6 Astra et 63,3 pour Opus 5.5.

Moonshot a également publié des taux d’erreur différents pour des tests distincts. Dans son blog de lancement, l’entreprise indique un taux de réponses inventées ou erronées de 8,3 %, contre 23,4 % pour K3. Dans son guide de démarrage rapide de l’API, elle donne un taux de 6,85 %, contre 23,35 %, à partir d’un autre ensemble de conversations. Les deux documents décrivent des tests spécialisés ; les clients doivent toujours vérifier les réponses dans le cadre de leurs propres activités.

Pour les développeurs et les équipes de sécurité, le changement immédiat est l’accès à des capacités plus performantes de programmation et d’automatisation, à des prix par jeton plus bas. Pour Moonshot, la publication des poids transférerait davantage de décisions sur le déploiement, la modification et les protections aux organisations qui les téléchargent.

À retenir

• Selon Moonshot, la suppression de contenus d’entraînement liés à la cybersécurité a fait passer le score de K3.1 Pro à son test interne d’exploitation de failles de 90,5 % à 81,0 %.
• Le modèle filtré a tout de même obtenu un score bien supérieur aux 33,3 % de Kimi K3 dans le même test.
• Le test interne n’a pas été publié et les nouveaux résultats n’ont pas fait l’objet d’une vérification indépendante.
• Lors d’une précédente évaluation menée au Royaume-Uni et aux États-Unis, K3 a réussi une attaque simulée contre un réseau d’entreprise lors d’une tentative sur dix.
• La Chine propose d’interdire l’exportation de technologies d’IA destinées à créer des logiciels malveillants et de restreindre l’exportation de technologies d’IA servant à détecter des vulnérabilités.
• L’enregistrement temporaire des exportations a commencé le 16 octobre. La consultation publique se termine le 15 novembre.
• Moonshot prévoit de publier les poids de K3.1 Pro d’ici au 4 novembre, ce qui donnera aux développeurs externes davantage de contrôle sur son utilisation.