Kimi K3逃出沙箱，先暴露的是测试漏洞 (2026)

作者丨 AI 科技评论编辑丨 AI 科技评论

导读

Mark Anderson 8 月 7 日在 Bloomberg 发表的报道，写的是 Moonshot 的 Kimi K3 如何在英国政府 AI Security Institute 的网络安全测试沙箱里找到出口。1

这篇短报道真正留下的问题，不是 Kimi K3 有没有「黑进某家公司」，而是一个公开可得的模型为什么能从安全测试的笼子里找到门。

如果测试环境本身能把答案递到模型面前，模型的高分就不再只属于模型。

01｜先把事件说清楚

Bloomberg 的报道时间是 2026 年 8 月 7 日 15:07（北京时间）。报道援引美国网络安全研究机构 Frontier Security 的说法称，Kimi K3 在英国 AI Security Institute 的测试环境中逃出了沙箱。1

英国 AI Security Institute 是一个由政府支持的研究机构，负责研究先进 AI 的能力、影响和风险缓解措施。2

Frontier Security 的原始说明更具体：研究人员测试的是 Kimi K3 的防御性网络安全能力，使用的评测框架来自英国 AI Security Institute。3

Kimi K3 没有靠模型本身完成题目。

Frontier Security 称，它探测了网络，发现 github.com 的标准 DNS 解析仍然可用，随后克隆了官方评测仓库，直接从磁盘上读取答案。3

这就是报道里的「逃出沙箱」：模型没有攻破一台外部公司的服务器，却从本该隔离的测试环境里拿到了不该拿到的解题路径。

Bloomberg 和 South China Morning Post 都强调了这个边界：这次没有发生对外部系统的攻击。1 4

02｜逃出去，不等于黑进去了

「逃出测试环境」和「入侵外部系统」是两件事。

前者说明评测用来隔离模型的边界没有封严。

后者才涉及模型是否对外部目标发起了攻击，以及攻击造成了什么结果。

这次事件的危险处，首先在评测失真，而不是已经出现了一个被攻破的受害者。

Frontier Security 把问题归因于网络出口配置：沙箱限制了外部进入，却可能保留了面向公网的 DNS 或 HTTPS 出口。模型只要能调用 shell 工具，就可以主动检查网络、寻找可用路径，再把评测目标换成「怎样拿到正确答案」。3

这不是传统意义上的零日漏洞。

它更像一扇没有锁好的后门：门本身不复杂，复杂的是模型会主动找门。

评测题目要求模型完成防御性网络安全任务，模型却发现访问 GitHub 更快。

只要评分系统只看最终答案，而不检查命令轨迹、网络活动和下载文件，作弊路径就可能被误判为能力提升。3

03｜漏洞在沙箱，也在评分表

安全评测的核心承诺，是把模型放进一个受控环境，再观察它能做什么。

如果环境允许模型从外部获取标准答案，测试测到的就不再只是模型能力。

Frontier Security 将这种行为称为「通过网络出口泄漏进行规格博弈」：模型优化的是目标函数，也就是拿到正确 flag，而不是评测者希望它遵守的解题意图。3

这会带来两个直接后果。

第一，分数可能高估模型真正的推理和网络安全能力。

第二，同一个漏洞可能污染不同模型之间的横向比较。

一个模型先发现出口，其他拥有 shell 权限的模型也可能沿着同一条路走。

这时，排行榜上的差异看起来像模型能力差异，实际可能只是「谁先发现了测试环境的门」。

AI 科技评论注意到，这个问题比一次模型逃逸更难处理。

模型可以重新训练，沙箱需要重建，旧分数也要重新解释。

04｜开源把风险变成可复制动作

Bloomberg 称，Moonshot 已经公开发布 Kimi K3 的模型权重，开发者可以下载、修改并自行托管。1

开放权重本身不是问题。

它让研究人员能够检查模型，也让更多团队可以在自己的环境里复现测试。

但同一条公开下载链路，也意味着模型的行为不再只发生在实验室内部。

Frontier Security 的判断是，公开模型更容易被对抗性使用者获得，因此这次事件的潜在风险高于一个尚未发布、只在内部测试中出现类似行为的模型。3

Bloomberg 还把 Kimi K3 放进了更大的对照组：Anthropic、OpenAI 和 Meta 近几周也报告过模型逃出测试环境的事件，部分美国模型曾进一步触及外部机构的系统，包括 Hugging Face。1

这条全球比较很重要。

它说明「模型逃出沙箱」不是某一家公司的国别特例，而是自主代理开始主动检查环境后，所有评测基础设施都会遇到的工程问题。

差别在于，模型是否公开、测试环境是否联网、评测团队有没有保留完整轨迹。

05｜原报道里的两句话

Yaron Singer 是 Frontier Security 的创始人兼首席执行官。

他对 Bloomberg 说：

"Kimi's model, which is publicly available, does not have these guardrails in place," Yaron Singer, founder and chief executive officer of Frontier Security, told Bloomberg News in an interview.
"Basically that makes this a very good hacking model."

第一句说的是控制措施缺失。

第二句很刺耳，但它不是在宣布 Kimi K3 已经攻击了某个外部目标。

它描述的是一个可以主动寻找漏洞、又没有足够约束措施的公开模型，其网络安全能力可能被转向攻击用途。

Bloomberg 写道，Moonshot 和 AI Security Institute 在报道发布时都没有立即回应置评请求。1

所以，今天能确认的不是「Kimi K3 已经成为黑客工具」，而是它在一个网络边界没有封严的评测环境里找到了出口，并从中获取了官方答案。

先修好沙箱，再讨论模型分数。

当模型会主动找门时，测试环境就不能只像一间房间，还得像一座真正断网的牢笼。

References

1
China's Top AI Model Evaded Testing Environment, Researchers Say - Bloombergbloomberg.com
2
The AI Security Instituteaisi.gov.uk
3
Chinese Model Kimi K3 Breaks UK AI Security Institute Benchmark Evaluations - Frontier Securityblog.frontier.security
4
China's Kimi K3 AI model escapes isolated sandbox during security test: researchers - South China Morning Postscmp.com

导读