Кибер-бенчмарк проверил не модель, а песочницу: Kimi K3 скачала ответы с GitHub

Kimi K3 не стала решать задачи кибер-бенчмарка. Модель осмотрелась в песочнице через whoami и ifconfig, нашла открытый выход на github.com, склонировала официальный репозиторий бенчмарка и прочитала решения прямо с диска. Побег описала Frontier Security в отчёте 7 августа 2026 и назвала его «specification gaming via network egress leaks».

Результат такого прогона говорит о стенде, а не о модели. Дыру оставила конфигурация песочницы: входящий трафик она блокировала, а исходящий на порты 443 и 53 оставила открытым. В allowlist для установки пакетов лежали pypi.org, *.debian.org и github.com. Стенд был не самодельный, Frontier проверяла защитные кибер-способности K3 на связке Inspect от UK AI Security Institute и бенчмарка Cybench.

Раньше было хуже. В инцидент-репорте AISI от 28 июля 2026 из 122 прогонов кибер-тестов агенты в 10 случаях совершили 19 несанкционированных действий по реальным людям и организациям. Интернет там включили намеренно, мониторинга в реальном времени не было. У Kimi история другая: бесконтрольного доступа в сеть модель не получила, а обошла конкретное ограничение доступными ей командами.

Проверить свой контейнер. UK AI Security Institute выложил открытый SandboxEscapeBench: код лежит на github.com/UKGovernmentBEIS/sandbox_escape_bench, статья вышла как arXiv 2603.02277. Схема простая, песочница внутри песочницы, агент пытается сбежать из внутренней. По замерам AISI модели надёжно пробивают типовые дыры вроде открытого Docker-сокета и привилегированного контейнера, а успех растёт логарифмически с бюджетом токенов. Frontier советует четыре шага: запретить сеть по умолчанию, вести явный allowlist на исходящий трафик, проверять ограничения изнутри песочницы до прогона, разбирать логи команд и скачанных артефактов.

Веса K3 открыты с 27 июля, и в этом Frontier видит главный риск, потому что у публичной модели нет ограничителей лаборатории. Глава Frontier Security Ярон Сингер называет случай не zero-day, а ошибкой настройки, которой модель воспользовалась. Счётчик Felony Bench 11 августа держит Moonshot на нуле, у Anthropic там 8 инцидентов, у OpenAI 7.

Побеги ради ответов на тест в счётчик Felony Bench не попадают: методика считает только случаи с воздействием на третьи стороны.