Moonshot reduce las capacidades de hackeo de Kimi K3.1 Pro antes de su lanzamiento abierto y de las nuevas normas de exportación de China

Menor puntuación en pruebas de hackeo, pero un modelo más potente

La startup china Moonshot AI afirma que redujo las capacidades ofensivas de hackeo de Kimi K3.1 Pro antes de la publicación prevista de los archivos del modelo, el 4 de noviembre de 2026. Los cambios redujeron su puntuación en una prueba interna de explotación de software del 90,5% al 81,0%, aunque el modelo resultante siguió muy por encima de su predecesor, que obtuvo un 33,3%.

Moonshot lanzó K3.1 Pro el 23 de octubre y detalló las restricciones en un comunicado del 24 de octubre. Su estrategia consiste en retirar material utilizado para enseñar determinadas habilidades cibernéticas y conservar las capacidades generales de programación que hacen que el modelo sea útil para crear y reparar software.

El anuncio se produce ocho días después de que el Ministerio de Comercio y el Ministerio de Ciencia y Tecnología de China propusieran nuevos controles a las exportaciones de tecnología. Las propuestas prohibirían exportar tecnología para generar y modificar código malicioso con IA, y restringirían la tecnología que utiliza IA para detectar vulnerabilidades de software.

El lanzamiento de Moonshot reúne dos cuestiones: cuánta capacidad de hackeo debería tener un modelo que se puede descargar ampliamente y cómo deberían regular los gobiernos la tecnología que puede ayudar tanto a quienes protegen el software como a quienes lo atacan.

Al explicar los límites que pretende establecer para el lanzamiento, Moonshot señaló:

«Nuestro objetivo es no publicar pesos abiertos que amplíen la frontera absoluta de las capacidades cibernéticas».

Los pesos de la empresa son los archivos que contienen lo que ha aprendido el modelo. Publicarlos permite que desarrolladores externos ejecuten y modifiquen el sistema en sus propios equipos. Esto ofrece más control a los usuarios, pero reduce la capacidad de Moonshot para gestionar el acceso o cambiar las medidas de seguridad una vez que se hayan distribuido copias.

Qué retiró Moonshot

Moonshot afirma que el material cibernético se incorporó al desarrollo del modelo por dos vías: una colección general de entrenamiento utilizada durante una etapa intermedia y tareas cibernéticas incluidas en entornos de aprendizaje por refuerzo. El aprendizaje por refuerzo mejora un modelo mediante intentos repetidos de realizar tareas y comentarios sobre su desempeño.

La empresa retiró el material cibernético de ambas etapas y conservó las tareas generales de programación. Su prueba interna, llamada xdev-bench-hard, mide si un modelo puede reproducir vulnerabilidades de software divulgadas recientemente y desarrollar formas de explotarlas; el éxito se contabiliza si se alcanza en un máximo de tres intentos.

La prueba incluye vulnerabilidades de programas como el núcleo de Linux, Node.js y JavaScriptCore. Estos son componentes utilizados para ejecutar sistemas operativos, aplicaciones de servidor y código JavaScript. Un exploit es un método para convertir una debilidad del software en una acción, como obtener acceso o hacer que un programa funcione de una manera no prevista.

La puntuación de K3.1 Pro cayó 9,5 puntos porcentuales tras el filtrado, del 90,5% al 81,0%. DeepSeek V4.1-Flash obtuvo un 85,7% en la misma comparación interna, por lo que el modelo Kimi filtrado quedó por debajo de ese competidor.

Kimi K3, el modelo predecesor, obtuvo un 33,3%. Por tanto, el sucesor filtrado conservó una ventaja de 47,7 puntos porcentuales, lo que muestra cuánto había avanzado su capacidad para resolver estas tareas incluso después de las reducciones específicas.

Por qué la programación general sigue siendo importante para el hackeo

Moonshot atribuye parte de la capacidad cibernética que se mantiene a las mejoras en programación general y depuración a lo largo de secuencias de trabajo extensas. Un modelo capaz de inspeccionar código, seguir un fallo a través de varios archivos y probar posibles reparaciones también puede aplicar esas habilidades para encontrar y explotar debilidades.

En su blog de lanzamiento, la empresa explicó esta relación de la siguiente manera:

«mejora considerablemente con respecto a su predecesor, lo que indica que las mayores capacidades de programación general y depuración a largo plazo se transfieren a las tareas cibernéticas incluso después de retirar datos de forma específica».

Quienes protegen el software pueden utilizar estas capacidades para inspeccionar sistemas antiguos que reciben poca atención, una ventaja que Moonshot mencionó para respaldar la publicación de pesos abiertos. Una organización podría ejecutar el modelo de forma local y examinar el software que tiene la responsabilidad de mantener.

Quienes atacan pueden usar capacidades similares para buscar debilidades y automatizar partes de una intrusión. Por tanto, la cuestión práctica va más allá de si un modelo ha visto ejemplos explícitamente maliciosos: las habilidades útiles de programación pueden aplicarse también a tareas ofensivas.

La prueba xdev-bench-hard de Moonshot no se ha publicado y sus resultados no han sido verificados de forma independiente. La empresa tampoco ha explicado si el entrenamiento adicional de desarrolladores externos podría recuperar la capacidad retirada antes del lanzamiento. Estas son preguntas centrales para evaluar un modelo cuyos archivos los usuarios podrán modificar.

Qué encontraron las pruebas gubernamentales de Kimi K3

El Instituto de Seguridad de la Inteligencia Artificial del Reino Unido y el Centro para Estándares e Innovación en IA de Estados Unidos examinaron anteriormente Kimi K3, que se lanzó el 16 de julio de 2026 y tenía prevista la publicación de sus pesos abiertos para el 27 de julio. Su evaluación cibernética conjunta ofrece un punto de referencia independiente para el modelo predecesor.

K3 obtuvo un 32% en ExploitBench, frente al 24% de GLM-5.2. Este índice, desarrollado por la Universidad Carnegie Mellon, evalúa el avance en la explotación de 41 vulnerabilidades de V8, el motor de software que ejecuta JavaScript y WebAssembly en Chrome.

K3 no logró ejecutar código arbitrario en ninguna de las 41 muestras. Los modelos más avanzados consiguieron ese resultado en un promedio de 20 muestras. La ejecución de código arbitrario consiste en hacer que un objetivo ejecute comandos elegidos por quien lo ataca; es un resultado especialmente grave porque puede darle el control.

Los institutos también probaron K3 en The Last Ones, una red corporativa simulada con aproximadamente 20 computadoras distribuidas en cuatro segmentos de red. El ejercicio consta de una secuencia de 32 pasos de ataque y llevaría a un experto humano unas 20 horas.

Con un límite de 100 millones de tokens, K3 llegó en promedio al paso 17, frente al paso 11 de GLM-5.2 y al 28,5 de los principales modelos estadounidenses. K3 completó todo el ejercicio en uno de cada 10 intentos. Los modelos más capaces lo completaron en seis o siete de cada 10 intentos.

Cómo interpretar los límites de las pruebas

Los institutos británico y estadounidense señalaron que las medidas de seguridad de K3 le permitieron intentar desarrollar exploits y realizar operaciones cibernéticas ofensivas durante sus evaluaciones. Sus conclusiones sitúan a K3 por encima de un modelo anterior destacado con pesos abiertos, pero por debajo de los modelos más potentes que probaron.

El ejercicio The Last Ones comenzaba con acceso inicial a la red. Incluía una ruta de ataque intencional, no tenía defensores activos ni herramientas de protección y no imponía ninguna penalización por conductas que activarían alertas de seguridad. Estas condiciones ofrecían al modelo un entorno estructurado para llevar a cabo un ataque.

Los institutos describieron las evaluaciones como preliminares y selectivas. La estimación agregada de las capacidades de K3 se basó en un solo índice, lo que implica mayor incertidumbre estadística que las estimaciones de modelos evaluados en un conjunto más amplio de tareas.

Los modelos estadounidenses con pesos cerrados se probaron con las medidas de seguridad del sistema desactivadas, para que los evaluadores pudieran medir sus capacidades máximas con menos respuestas de rechazo. Las versiones públicas sí tienen esas medidas activadas. Por tanto, al comparar los resultados, los lectores deben tener en cuenta tanto las habilidades propias del modelo como los controles del servicio utilizado para acceder a él.

El nuevo resultado de K3.1 Pro, del 81,0%, procede de otra prueba interna de Moonshot. La comparación con K3 resulta más útil dentro de esa misma prueba, en la que el predecesor obtuvo un 33,3%. Una evaluación independiente del nuevo lanzamiento daría a los equipos de seguridad una base más sólida para valorar sus capacidades.

China propone prohibiciones y restricciones

Los dos ministerios chinos publicaron el Anuncio n.º 48 el 16 de octubre de 2026. El aviso solicita comentarios sobre las revisiones al Catálogo de tecnologías cuya exportación está prohibida o restringida; se podrán presentar observaciones hasta el 15 de noviembre.

Las incorporaciones propuestas abarcan 40 tecnologías: 23 en IA, cinco en biomedicina y 12 en fabricación de paneles solares. En los tres campos, se prohibiría exportar 14 tecnologías y se restringirían otras 26.

Las categorías de IA incluyen modelos grandes, agentes, clústeres de computación y procesamiento de información. Los agentes son sistemas que utilizan herramientas y ejecutan una secuencia de acciones para alcanzar un objetivo, en lugar de limitarse a responder una sola pregunta.

La tecnología de IA para generar y modificar código malicioso figura entre las exportaciones que se propone prohibir. La tecnología de IA para detectar vulnerabilidades figura entre las exportaciones que se propone restringir. La diferencia es importante: la prohibición impediría las exportaciones comprendidas en ella, mientras que las restricciones someterían las transferencias correspondientes a controles de exportación.

La explicación de la política del Ministerio de Comercio señala que estas tecnologías podrían utilizarse contra infraestructuras de información críticas, sistemas de la industria de defensa y sistemas centrales del Gobierno, o para eludir medidas de seguridad. El ministerio describe la revisión como una medida habitual de gestión del comercio de tecnología que no apunta a ningún país, región o entidad en particular.

El registro comienza antes de que se aprueben las normas definitivas

Los cambios propuestos al catálogo chino siguen en consulta, pero los requisitos temporales de registro entraron en vigor con la publicación del anuncio del 16 de octubre. Los exportadores deben registrar las transferencias de tecnología comprendidas antes de exportarlas y hasta que entre en vigor el catálogo revisado. También se incluyen las transferencias ya iniciadas pero aún no completadas.

El aviso identifica varios acuerdos comprendidos: transferir la propiedad de tecnología al extranjero, conceder licencias para el uso de tecnología nacional fuera del país y realizar cambios que pongan la propiedad o el control efectivo de una tecnología nacional en manos extranjeras.

El registro se realiza a través de la plataforma unificada de servicios empresariales del Ministerio de Comercio, en el apartado de solicitudes de comercio de tecnología. Los exportadores deben proporcionar datos como el exportador y el destinatario, el país o la región de destino, la tecnología, el uso previsto y el valor estimado de la exportación.

El ministerio también distingue entre transferir tecnología y ofrecer acceso a un servicio. Según la explicación de las normas propuestas, el despliegue local en el extranjero de tecnología de IA restringida estaría sujeto a la gestión de exportaciones. Algunas modalidades, como el despliegue en la nube propia de una empresa en el extranjero, podrían acogerse a procedimientos de autorización automática.

Ofrecer acceso a modelos a través de una API, una aplicación, un sitio web o software como servicio quedaría fuera de la categoría de exportación de tecnología de modelos grandes descrita en la explicación. El despliegue ligero en dispositivos locales también figura fuera de esa categoría. Una API permite que un programa informático solicite un servicio a otro, de modo que los clientes pueden utilizar un modelo sin recibir sus archivos subyacentes.

Las publicaciones abiertas reciben un tratamiento distinto

El anuncio de China excluye la tecnología que ya sea de dominio público por haberse publicado como código abierto o en artículos académicos. El ministerio también describe procedimientos de autorización automática y otras vías simplificadas para ciertas exportaciones de tecnología de IA relacionadas con publicaciones abiertas, la cooperación de investigación internacional y actividades afines.

Por tanto, la forma de publicación y transferencia importa tanto como las capacidades técnicas. Una empresa que ofrece un modelo alojado, otra que transfiere tecnología restringida para su despliegue en el extranjero y un desarrollador que distribuye tecnología ya disponible al público pueden recibir tratamientos distintos conforme al marco anunciado.

La publicación prevista de los pesos de Moonshot hace que estas distinciones sean relevantes para su alcance internacional. En estos documentos, el Gobierno no ha publicado una clasificación de K3.1 Pro y tampoco ha indicado cuándo entrará en vigor el catálogo definitivo.

Las próximas fechas acercan el calendario de lanzamiento y el proceso regulatorio:

• 16 de julio de 2026: se lanzó Kimi K3; la publicación de sus pesos estaba prevista para el 27 de julio.
• 16 de octubre: China publicó el Anuncio n.º 48, abrió la consulta e inició el registro temporal de exportaciones.
• 23 de octubre: Moonshot lanzó K3.1 Pro.
• 24 de octubre: Moonshot detalló la reducción de las capacidades cibernéticas ofensivas.
• 4 de noviembre: Moonshot prevé haber publicado los pesos de K3.1 Pro.
• 15 de noviembre: termina el plazo para presentar comentarios públicos sobre las revisiones propuestas al catálogo de exportaciones.

Más capacidad a un menor precio por acceso

El lanzamiento más amplio de K3.1 Pro ayuda a explicar por qué sus capacidades cibernéticas importan más allá del trabajo especializado en seguridad. El modelo tiene 2,8 billones de parámetros en total, de los cuales 104.000 millones están activos, lo que lo sitúa en la categoría de modelos de aproximadamente 3 billones de parámetros descrita por Moonshot. Los parámetros son los valores numéricos que un modelo aprende durante el entrenamiento.

El modelo tiene una ventana de contexto de un millón de tokens y acepta texto e imágenes. Los tokens son unidades de información que procesa el sistema; una ventana de contexto mayor le permite trabajar con más material en una sola tarea. Moonshot también ofrece K3.1 Pro Highspeed, que, según la empresa, funciona entre dos y tres veces más rápido.

Los precios estándar de la API bajaron de US$3 a US$2 por cada millón de tokens de entrada y de US$15 a US$10 por cada millón de tokens de salida, una reducción de un tercio. La entrada en caché, que reutiliza material procesado previamente, bajó de US$0,30 a US$0,20 por millón de tokens. Highspeed cuesta US$4 por millón de tokens de entrada y US$20 por millón de tokens de salida.

El Intelligence Index de Artificial Analysis situó a K3.1 Pro en el cuarto puesto, con 55 puntos, 11 más que K3 y tres menos que Claude Opus 5.5, que obtuvo 58. En la comparación de programación en terminal de Moonshot, K3.1 Pro obtuvo un 65,7%, cerca del 66,4% de Opus 5.5. Sin embargo, en tareas científicas en terminal, Moonshot le asignó 38,1 puntos, por debajo de los 68,1 de GPT-6 Astra y los 63,3 de Opus 5.5.

Moonshot también publicó cifras distintas sobre errores para diferentes pruebas. En su blog de lanzamiento, situó en el 8,3% la tasa de afirmaciones inventadas o incorrectas, frente al 23,4% de K3; en su guía de inicio rápido de la API, indicó un 6,85%, frente al 23,35%, a partir de un conjunto distinto de conversaciones. Ambos documentos describen pruebas especializadas, pero los clientes aún deben verificar las respuestas en su propio trabajo.

Para desarrolladores y equipos de seguridad, el cambio inmediato es el acceso a capacidades más potentes de programación y automatización a un menor precio por token. Para Moonshot, publicar los pesos trasladaría a las organizaciones que los descarguen más decisiones sobre su despliegue, modificación y medidas de seguridad.

Puntos clave

• Moonshot afirma que retirar el material cibernético de entrenamiento redujo del 90,5% al 81,0% la puntuación de K3.1 Pro en su prueba interna de explotación.
• El modelo filtrado siguió muy por encima del 33,3% de Kimi K3 en la misma prueba.
• El índice interno no se ha publicado y los nuevos resultados no se han verificado de forma independiente.
• Pruebas anteriores del Reino Unido y Estados Unidos determinaron que K3 podía completar un ataque simulado contra una red corporativa en uno de cada 10 intentos.
• China propone prohibir las exportaciones de tecnología de IA para crear programas maliciosos y restringir las exportaciones de tecnología de IA para detectar vulnerabilidades.
• El registro temporal de exportaciones comenzó el 16 de octubre. La consulta pública termina el 15 de noviembre.
• Moonshot prevé publicar los pesos de K3.1 Pro antes del 4 de noviembre, lo que dará a desarrolladores externos más control sobre el uso del modelo.