A empresa chinesa Moonshot AI lançou o Kimi K3.1 Pro, o seu modelo de linguagem mais recente. Antes de disponibilizar os pesos abertos, retirou do treino uma parte dos dados de cibersegurança para limitar a capacidade do modelo de encontrar e explorar vulnerabilidades. Segundo a publicação técnica da empresa, um checkpoint sem estas medidas de redução de risco resolve 90,5% dos problemas do teste interno xdev-bench-hard (pass@3), enquanto a versão final do K3.1 Pro fica nos 81,0%. Mesmo assim, o novo modelo é muito mais capaz em tarefas ofensivas do que o antecessor. Estes números ainda não foram verificados de forma independente.
Resposta rápida: A Moonshot AI retirou dados de cibersegurança ofensiva do treino do Kimi K3.1 Pro. Com isso, a taxa de sucesso no seu teste interno de exploração de vulnerabilidades desceu de 90,5% para 81%. Os pesos abertos devem ser publicados até 4 de novembro e, a partir daí, qualquer pessoa poderá descarregar e modificar o modelo. As organizações devem contar com atacantes que usam IA cada vez mais capaz e reduzir o tempo que demoram a corrigir falhas conhecidas.
O que a Moonshot AI anunciou
A empresa, sediada em Pequim, anunciou as salvaguardas a 24 de outubro e apresenta o Kimi K3.1 Pro como o seu modelo de pesos abertos mais capaz na classe dos três biliões de parâmetros. Nas palavras da documentação oficial, o K3.1 Pro é uma versão pós-treinada do Kimi K3, com muito mais capacidade de computação investida no pós-treino. A Moonshot tenciona publicar os pesos do modelo até 4 de novembro, o que permitirá a programadores executá-lo e modificá-lo nos seus próprios sistemas.
O anúncio destaca melhorias em programação, análise financeira e exatidão factual. No teste interno Kimi Hallu Bench Hard, a taxa de alucinação ao nível das afirmações desceu de 23,4% no K3 para 8,3%. O modelo tem uma janela de contexto de um milhão de tokens. A empresa lançou também uma variante K3.1 Pro Highspeed que, segundo a empresa, funciona duas a três vezes mais depressa do que o modelo normal.
Como foram reduzidas as capacidades ofensivas
A Moonshot não se limitou a acrescentar filtros de recusa a um modelo já terminado. Atuou no próprio treino. A empresa explica que, ao preparar a versão de pesos abertos, identificou e removeu dados de ataque e defesa informática em ambas as fases de treino, mantendo as tarefas gerais de programação necessárias à utilidade do modelo. Na prática, o filtro abrangeu o corpus do chamado mid-training e os ambientes de aprendizagem por reforço (reinforcement learning, ou RL).
Para medir o efeito, a empresa usa o xdev-bench-hard, um teste próprio. Segundo a Moonshot, a maioria das tarefas reproduz vulnerabilidades divulgadas recentemente em software como o kernel Linux, Node.js, JavaScriptCore, Exim e VirGL, com as mitigações ativadas. A descrição compilada pela plataforma BenchLM indica que cada tarefa fornece código-fonte vulnerável, uma breve pista sobre o erro e o binário, e o agente tem de conseguir execução arbitrária de código numa sandbox separada e recuperar uma cadeia secreta.
Os números, segundo a própria Moonshot
A tabela reúne os resultados publicados pela empresa no xdev-bench-hard (métrica pass@3). Todos são autodeclarados.
| Modelo | Resultado xdev-bench-hard (pass@3) | Observação |
|---|---|---|
| GPT-5.6 Sol | 100 | Avaliação de terceiros, segundo a Moonshot |
| Kimi sem redução de risco ciber | 90,5 | Checkpoint interno, não será publicado |
| DeepSeek-V4.1-Flash | 85,7 | Modelo concorrente |
| Kimi K3.1 Pro | 81,0 | Versão final com dados filtrados |
| GLM-5.3 | 57,1 | Modelo concorrente |
| Kimi K3 | 33,3 | Antecessor |
Os valores constam do gráfico de resultados internos publicado pela Moonshot. Para a empresa, a comparação mostra que a remoção de dados reduz de forma significativa a capacidade ciber face ao que o mesmo processo de treino produziria.
A Moonshot reconhece, porém, que o K3.1 Pro melhora substancialmente face ao antecessor, o que indica que capacidades mais fortes de programação e de depuração de longo prazo se generalizam a tarefas ciber, mesmo após a remoção direcionada de dados. Ou seja, a filtragem abrandou a subida, mas não a travou. A empresa diz ainda que a capacidade ciber do K3.1 Pro continua abaixo da dos modelos proprietários de ponta disponíveis publicamente há pelo menos três meses.
Convém ler estes dados com cautela. A própria BenchLM avisa que guarda o valor publicado pelo fornecedor apenas como evidência de lançamento e não o trata como um resultado reproduzível de forma independente.
Dois princípios para os pesos abertos
A Moonshot justifica a decisão com dois princípios. O primeiro é que a empresa pretende não publicar pesos abertos que alarguem a fronteira absoluta da capacidade ciber. O segundo é que tenciona aumentar progressivamente a capacidade ciber disponível em pesos abertos, por considerar que o acesso não discriminatório dá a mais equipas meios para auditar o código que mantêm, incluindo sistemas legados que raramente são revistos.
O problema de fundo é conhecido. Um fornecedor que aloja o seu modelo pode monitorizar a utilização, bloquear contas ou atualizar salvaguardas quando deteta abusos. No entanto, depois de os pesos serem descarregados e amplamente distribuídos, esses controlos tornam-se muito mais difíceis de aplicar. Com os pesos disponíveis, nada impede terceiros de afinar o modelo com dados ofensivos e recuperar parte da capacidade retirada.
O antecedente: a avaliação do Kimi K3
O tema já tinha merecido atenção oficial. Em julho, o AI Security Institute britânico (UK AISI) e o CAISI norte-americano avaliaram em conjunto o Kimi K3. Concluíram que o modelo tinha um desempenho significativamente inferior aos modelos de ponta mais recentes em avaliações ciber preliminares. Num cenário de ataque a uma rede empresarial simulada, o Kimi K3 chegou em média ao passo 17 de 32, enquanto os modelos norte-americanos mais capazes atingiram em média 28,5 passos.
Os institutos notaram também que as salvaguardas do Kimi K3 não o impediram de tentar desenvolver exploits ou de realizar operações cibernéticas ofensivas durante as avaliações. Nessa altura, os dois organismos concluíram que o modelo “é capaz de atacar autonomamente sistemas empresariais pequenos, mal defendidos e vulneráveis, quando instruído para isso e com acesso inicial à rede”.
O enquadramento regulatório chinês
O anúncio surge poucos dias depois de Pequim ter apresentado uma proposta de controlo de exportações de tecnologias de IA. Segundo a imprensa especializada, entre as tecnologias que a proposta proíbe estão sistemas que geram ou modificam autonomamente código malicioso, e entre as restringidas está a descoberta de vulnerabilidades assistida por IA. A proposta ainda é um rascunho. A Moonshot não liga explicitamente a sua decisão a este documento.
O que isto significa para as organizações
O ponto mais importante para quem defende redes é este: mesmo com filtragem, um modelo que poderá ser descarregado livremente resolve, segundo a própria empresa, a maioria das tarefas de exploração de falhas recentes num teste exigente. O tempo entre a divulgação de uma vulnerabilidade e a existência de um exploit funcional tende a encurtar. Algumas medidas práticas:
- Reduzir os prazos de aplicação de correções, sobretudo em sistemas expostos à Internet e em componentes como o kernel Linux, Node.js ou servidores de correio como o Exim.
- Manter um inventário atualizado de ativos e de software legado, que é precisamente o mais difícil de corrigir.
- Usar estas ferramentas também na defesa: auditar código próprio com modelos de IA, num ambiente controlado e com autorização formal.
- Antes de adotar modelos de pesos abertos internamente, avaliar a sua origem, a licença e os riscos para a cadeia de fornecimento.
Porque é que isto importa em Portugal
As entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a diretiva NIS2) têm de gerir riscos, incluindo o tratamento de vulnerabilidades e a segurança da cadeia de fornecimento. Quando a descoberta e exploração de falhas fica mais barata e acessível, estas obrigações ganham urgência prática. O CNCS e o CERT.PT continuam a ser os pontos de referência para notificar incidentes e acompanhar alertas.
Na União Europeia, os fornecedores de modelos de IA de uso geral que os coloquem no mercado europeu estão sujeitos às obrigações do Regulamento da IA (AI Act). Para os modelos com risco sistémico, a isenção aplicável a modelos abertos não se aplica. Para PME e cidadãos, o efeito mais direto é indireto, mas real: ataques que exploram falhas conhecidas podem levar a violações de dados pessoais, que têm de ser notificadas à CNPD nos termos do RGPD.
Perguntas frequentes
O que mudou no Kimi K3.1 Pro em relação à cibersegurança?
A Moonshot AI retirou dados de ataque informático do corpus de treino e dos ambientes de aprendizagem por reforço, mas manteve as tarefas gerais de programação. Assim, procurou reduzir a capacidade do modelo de descobrir e explorar vulnerabilidades.
A filtragem tornou o modelo inofensivo?
Não. Segundo a própria empresa, o K3.1 Pro resolve 81% das tarefas do seu teste interno de exploração de falhas, contra 33,3% do Kimi K3. A filtragem abrandou a evolução, mas não eliminou a capacidade.
Quando ficam disponíveis os pesos abertos?
A Moonshot AI indicou que tenciona publicar os pesos até 4 de novembro de 2026. A partir dessa data, terceiros poderão executar e modificar o modelo nos seus próprios sistemas.
O que devem fazer as organizações portuguesas?
Devem encurtar os prazos de correção de vulnerabilidades, manter um inventário rigoroso de ativos e avaliar o risco de fornecedores. As entidades abrangidas pelo Decreto-Lei n.º 125/2025 devem também integrar estas ameaças na sua gestão de riscos.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Moonshot AI (blogue técnico), pela Kimi API Platform, pelo UK AI Security Institute e pelo NIST/CAISI.