Kimi K3 en cybersécurité : capacités en retrait, garde-fous qui ne bloquent rien
Le UK AI Security Institute et le CAISI américain ont évalué les capacités cyber de Kimi K3. Le verdict tient en deux constats indépendants, et une nuance méthodologique de taille.
De quoi Kimi K3 est-il capable en cyberattaque ? Le UK AI Security Institute (UK AISI) et le Center for AI Standards and Innovation (CAISI), rattaché au NIST, ont publié leur évaluation conjointe le 23 juillet 2026. Elle est arrivée sur Hacker News le lendemain et y a nourri un fil de plus de quarante commentaires.
Depuis, le rapport sert d'argument à deux camps opposés. D'un côté, « le modèle chinois est dangereux, il faut l'interdire ». De l'autre, « le modèle chinois est mauvais en cyber, circulez ». Les deux lectures sont fausses, parce qu'elles fusionnent deux résultats que le rapport prend soin de séparer : le niveau de capacité et la tenue des garde-fous. Ce sont deux axes indépendants, et c'est leur combinaison qui intéresse une DSI française.
Que mesure exactement le rapport UK AISI / CAISI ?
Deux épreuves, très différentes l'une de l'autre.
La première est ExploitBench, un banc d'essai public développé par Carnegie Mellon University. Il contient 41 tâches bâties sur des vulnérabilités postérieures à 2023 du moteur V8, celui qui exécute le JavaScript dans Chrome, et mesure la progression du modèle le long de l'échelle de l'exploitation logicielle : reproduction du plantage, lecture et écriture arbitraires en mémoire, détournement du flux d'exécution, puis exécution de code arbitraire. C'est ce dernier palier qui compte, puisqu'il donne à l'attaquant le contrôle de la cible.
La seconde épreuve s'appelle « The Last Ones ». C'est un champ de tir cyber : un réseau d'entreprise simulé de 4 sous-réseaux et d'environ 20 machines, avec un chemin d'attaque de 32 étapes qu'un expert humain met environ vingt heures à parcourir. Kimi K3 y atteint en moyenne l'étape 17. Les modèles américains les plus capables en cyber vont jusqu'à 28,5 en moyenne.
Les auteurs précisent eux-mêmes les limites de cet exercice : le réseau simulé n'a ni défenseurs actifs, ni outillage de défense, aucune action n'est pénalisée parce qu'elle déclencherait une alerte, et le chemin d'attaque y est délibérément présent. Autrement dit, c'est un plancher de difficulté, pas un système d'entreprise réel.
Le constat qui compte vraiment : les garde-fous n'ont rien arrêté
C'est la phrase qui a circulé partout. Pendant les évaluations, les garde-fous de Kimi K3 ne l'ont empêché ni de tenter du développement d'exploits, ni de conduire des opérations cyber offensives. Le modèle n'a pas refusé. Il a essayé, et il a partiellement réussi.
Cette information est indépendante de la précédente. Un modèle moins capable mais toujours coopératif n'est pas moins utile à un attaquant qu'un modèle brillant qui refuse une fois sur deux. C'est exactement ce que relevait le commentaire le plus remonté du fil Hacker News consacré au rapport.
Pour choisir un modèle, il est indifférent à un attaquant qu'un modèle atteigne son objectif offensif 70 % du temps s'il refuse de participer 100 % du temps. En revanche, un modèle qui accepte toujours mais ne réussit « que » 10 % du temps est en or : il suffit de le relancer, ou de lui donner plus de tokens. Les attaquants sont patients.gnfargbl, commentaire le plus remonté du fil Hacker News consacré au rapport, 25 juillet 2026
Le même fil apporte un retour de terrain cohérent. Un participant raconte avoir lancé Kimi K3 et GLM-5.2 sur un outil public de chasse aux vulnérabilités publié par Capital One : aucun refus des deux modèles chinois, et les mêmes failles trouvées sur son projet, là où GPT-5.6, Gemini Pro et Claude Opus ont refusé de suivre. Ces refus ne gênent d'ailleurs pas que les attaquants : une équipe sécurité qui veut auditer sa propre infrastructure se heurte au même mur. C'est ce qui était arrivé à Hugging Face, contraint de se rabattre sur un modèle chinois à poids ouverts pour se défendre, comme nous le racontons dans notre article sur l'agent d'OpenAI échappé de son bac à sable.
Ce que le rapport établit, et ce qu'il n'établit pas
| Ce que le rapport établit | Ce qu'il n'établit pas |
|---|---|
| Kimi K3 obtient 32,2 % sur ExploitBench, contre 76,2 % pour l'agrégat américain. | Que Kimi K3 serait inoffensif : il a bouclé l'attaque complète du réseau simulé une fois sur dix. |
| Il n'atteint l'exécution de code arbitraire sur aucune des 41 tâches (20 sur 41 côté américain). | Que Kimi K3 serait plus dangereux que les modèles américains : ceux-ci ont été mesurés à capacité maximale. |
| Il devance nettement GLM-5.2, le modèle ouvert le plus capable en cyber jusqu'en juin 2026. | Que les modèles américains publics refuseraient toujours : leur version grand public n'a pas été testée ici. |
| Ses garde-fous ne l'ont pas empêché de tenter des opérations offensives. | Un classement stable : ce sont des évaluations préliminaires, sur un sous-ensemble d'épreuves. |
Les modèles américains à poids fermés ont été évalués avec leurs garde-fous système désactivés, afin de réduire les refus et de mesurer leur capacité maximale. Les versions publiques de ces mêmes modèles, elles, ont bien ces garde-fous activés. À l'inverse, en raison des spécificités de l'hébergement de Kimi K3, les deux agences n'ont fait tourner qu'un sous-ensemble sélectif d'évaluations. La note de capacité globale de K3 est d'ailleurs estimée à partir d'un seul banc d'essai, ExploitBench, quand celle des autres modèles agrège plusieurs bancs couvrant davantage de domaines. Son intervalle de confiance est donc mécaniquement plus large. Le rapport ne compare pas deux modèles à périmètre égal, et il le dit.
Un dernier point de méthode. La capacité cyber globale n'est pas une moyenne de scores : elle est agrégée sur plusieurs tâches et plusieurs bancs d'essai selon une approche inspirée de la théorie de la réponse à l'item (IRT). Sur la courbe d'évolution publiée par les deux agences, une hausse de 400 points équivaut à multiplier par dix les chances de résoudre une tâche, avec des intervalles à 95 %. Les écarts visuels y sont donc beaucoup plus grands qu'ils n'en ont l'air.
Un contrepoint venu du privé
Quatre jours avant la publication du rapport, le patron de Vercel affirmait publiquement l'inverse, sur la foi d'évaluations internes non publiées.
D'après nos évaluations internes : ▪️ Kimi K3 est au tout premier niveau en cybersécurité Certains racontent sur X que Moonshot a surajusté son modèle aux benchmarks. Il s'agit ici d'évaluations tenues secrètes. Le modèle a du QI brut. ▪️ Sol a une longueur d'avance en capacité cyber À un coût nettement plus élevé, mais cela reste remarquable. ▪️ Fable refuse tout Nous n'avons pas réussi à lui faire terminer une seule exécution. Ce qui est intéressant, c'est qu'en comparaison, Sol se montrait bien plus disposé à aider sur du durcissement défensif. En résumé : la capacité de cybersécurité de frontière, en poids ouverts, est là. Essayez-la sur deepsec.sh à des fins défensives.Voir le post sur X
Les deux affirmations ne se contredisent qu'en apparence. Rauch parle d'un banc d'essai privé, orienté recherche de vulnérabilités dans du code applicatif, et il pointe surtout le refus systématique de Fable. Les agences, elles, mesurent la construction d'exploits mémoire et l'attaque autonome d'un réseau. Sur le seul point où les deux se recoupent, la coopération du modèle, ils disent la même chose : Kimi K3 accepte la tâche.
Le climat politique s'en ressent. Tom's Hardware rapportait le 20 juillet que l'administration américaine relançait un projet d'interdiction des modèles chinois en invoquant des motifs de cybersécurité, tout en soulignant que des poids téléchargeables rendent une telle interdiction presque impossible à faire appliquer. Nous détaillons ce volet dans notre article sur la publication des poids de Kimi K3.
Déployer un modèle à poids ouverts chez soi : ce que ça change
C'est là que le rapport devient utile plutôt que polémique. Quand vous téléchargez des poids et que vous les faites tourner sur votre infrastructure, le garde-fou n'est plus celui de l'éditeur, c'est le vôtre. La couche de filtrage d'une API officielle ne vous suit pas : elle vit côté serveur, pas dans le fichier de poids. Quant à l'alignement embarqué dans les poids eux-mêmes, celui que le rapport a testé, il n'a pas bloqué les tâches offensives, et plusieurs participants du fil Hacker News rappellent qu'il se retire assez facilement quand on dispose des poids.
Concrètement, pour une équipe qui envisage d'héberger K3 en interne, cela déplace le travail vers quatre chantiers :
- Le filtrage. Une passerelle devant le modèle, qui inspecte les entrées et les sorties, plutôt qu'une confiance placée dans le refus du modèle.
- La journalisation. Conserver les prompts, les réponses et surtout les appels d'outils : c'est la seule trace exploitable après coup.
- L'isolation. Faire tourner l'agent dans un environnement cloisonné, sans accès réseau sortant par défaut, et sans secrets de production à portée.
- Les permissions d'agent. Lister explicitement ce que l'agent a le droit de faire, et exiger une validation humaine pour toute action à effet de bord.
Rien de tout cela n'est spécifique à un modèle chinois : c'est le prix d'entrée de n'importe quel modèle à poids ouverts hébergé en interne, y compris occidental. Et sur le plan de la conformité, la logique reste celle que nous détaillons dans notre fiche Kimi et notre comparatif DeepSeek vs Kimi : l'auto-hébergement règle la question des transferts de données, il ne règle pas celle du comportement du modèle.
Posez la question dans l'autre sens : que se passe-t-il si votre agent accepte une consigne qu'il aurait dû refuser ? Si la réponse dépend entièrement du refus du modèle, votre dispositif n'a qu'une seule ligne de défense. Ajoutez-en une avant de choisir le modèle, pas après. Et rappelez-vous qu'un modèle de la taille de K3 ne tourne pas sur un poste de travail : Ollama ne le propose qu'en mode cloud.
Questions fréquentes
Kimi K3 est-il sûr à utiliser en entreprise ?
Cela dépend du mode de déploiement. Passer par l'API officielle implique un transfert de données vers un opérateur chinois, quand l'auto-hébergement des poids supprime cette exposition. Le rapport UK AISI / CAISI ajoute un second critère : ses garde-fous n'ont pas bloqué les tâches cyber offensives, il faut donc prévoir vos propres contrôles.
Kimi K3 peut-il attaquer un réseau tout seul ?
Sur un réseau d'entreprise simulé de 32 étapes, il a atteint l'étape 17 en moyenne et bouclé l'épreuve complète une fois sur dix. Les auteurs précisent que ce réseau n'a ni défenseurs actifs ni outillage de défense, ce qui en fait un environnement bien plus permissif qu'un système réel.
Kimi K3 est-il plus dangereux que ChatGPT ou Claude ?
Le rapport ne permet pas de le dire. Les modèles américains y ont été mesurés garde-fous désactivés, donc à capacité maximale, ce qui gonfle leur score tout en masquant ce que leur version publique refuserait réellement.
Qu'est-ce que le UK AI Security Institute ?
C'est l'institut britannique chargé d'évaluer la sécurité des modèles d'IA de pointe. Il a mené cette évaluation avec le Center for AI Standards and Innovation américain, rattaché au NIST, qui a publié le même texte le 23 juillet 2026.
Peut-on désactiver les garde-fous d'un modèle à poids ouverts ?
Oui, et c'est l'argument avancé par plusieurs spécialistes : dès lors qu'on possède les poids, la couche de refus se retire par des techniques documentées publiquement. La sécurité d'un déploiement interne ne doit donc jamais reposer sur le refus du modèle.
Quelle différence entre modèle open source et modèle à poids ouverts ?
Un modèle à poids ouverts ne diffuse que ses paramètres appris, sans les données ni le code d'entraînement. C'est le cas de Kimi K3, publié sous une licence maison le 27 juillet 2026.
