Kimi K3.1 Pro、重み公開前にサイバー攻撃の能力を自ら弱めていた

また無料で使える新しいAIモデルが登場した、というニュースを見た。中国のMoonshot AIが、商用利用もできる大型モデル「Kimi K3.1 Pro」を公開したという。無料のAIモデルはこれまでにも何度か出てきたので、「今回はどれくらい強いのか」くらいの気持ちで公式ページを開いた(Hugging Faceモデルカード)。

そこで目に留まったのは性能の高さより先に、別の説明だった。Moonshot自身が、このモデルの一部の能力を公開前にあえて弱めたと明かしていたからだ。しかも、その下げ幅まで公表していた(Moonshot AI公式Tech Blog)。なぜ自社の最新モデルを、自ら弱くしてから配るのか。その理由を公式発表から追っていく。

無料で何が手に入るのか

無料で商用利用もできるとして、実際どれくらいのモデルなのか。Kimi K3.1 Proは、総パラメータ2.8兆・実際に動くパラメータ104億のMoE(Mixture of Experts)構成だ。コンテキスト長は100万トークンを超える。テキストと画像の両方を入力でき、エージェント型の作業を想定したモデルだと説明されている(Hugging Faceモデルカード)。

重みはHugging Faceで無料公開されている。個人利用はもちろん、商用サービスへの組み込みも基本的に無料でできる(Kimi K3.1-Pro License)。性能も見劣りしない。Web検索を伴うエージェント型の評価であるBrowseCompで、Kimi K3.1 Proは92.1点を記録した。GPT-6 Astra(91.5点)やClaude Opus 5.5(90.8点)をわずかに上回る(同モデルカード)。

3つの棒の長さはほとんど同じに見えるが、この僅差が「無料で配っているモデルが、現行トップ級の有料モデルと並ぶかそれ以上」という事実を表している(同モデルカード)。無料で手に入るモデルの実力が、ここまで上がってきている。

ここまでなら、よくある「新しい無料モデルが強い」という話で終わる。だが、これだけ強いモデルを重みごと誰でもダウンロードできる形で配ってしまって、本当に大丈夫なのだろうか。

なぜ重みは公開後に制限できないのか

ChatGPTやClaudeのような普段使っているAIサービスは、提供元のサーバー上で動いている。だから提供元は、あとから「この種の質問には答えない」という制限を追加できる。危険な使われ方が分かれば、サービス側で塞げばいい。

Kimi K3.1 Proのような「オープンウェイト」のモデルは、ここが違う。配っているのはサービスではなく、モデルの中身そのものである「重み」のファイルだ。受け取った側は、自分のパソコンやサーバーにそのファイルを置いて動かす。Moonshotのサーバーを経由しないので、Moonshotはその会話にもう関与できない。

同じ「AIを使う」でも、提供元が持つ制御の範囲はこれだけ違う。

• API提供(ChatGPT、Claudeなど): モデルは提供元のサーバーで動く。危ない使われ方が分かれば、あとから制限を追加できる
• 重み公開(Kimi K3.1 Proなど): モデルは利用者の手元で動く。公開した時点で、提供元は会話にも制限にも関与できなくなる

重みを配るというのは、あとから制限を追加する手段を手放すということだ。一度公開した重みは、ダウンロードした人の手元に残り続け、回収はできない。公開後に直すチャンスがない以上、手当てをするなら公開前しかない。では、Moonshotは実際に何をしたのか。

公開前にどれだけ能力を落としたのか

Moonshotの公式ブログは、この問題への対応を具体的に説明している。対象は中間学習(mid-training)と強化学習(RL)の両方の段階だ。この2段階で、サイバー攻撃に関連するデータを特定し、取り除いたという(Moonshot AI公式Tech Blog)。目的は、一般的な有用性を保ちながら悪用のリスクを減らすことにある、と説明されている(同ブログ)。

方針として、Moonshotは「サイバー能力の絶対的な最先端を押し広げるようなオープンウェイトは公開しない」と明言している(同ブログ)。自社の最新モデルであっても、その時点で最も危険な水準までは出さない、という線引きだ。

自分がここで驚いたのは、この対応が抽象的な方針表明だけで終わっていなかったことだ。Moonshotは、社内ベンチマーク「xdev-bench-hard」の結果を、対策の前後で両方公表している。対策をしていないチェックポイントでは90.5%解けていた問題が、公開された最終版のKimi K3.1 Proでは81.0%まで下がったという(同ブログ)。

棒の長さを見ると、対策前のチェックポイント(90.5)と公開版(81.0)の間に、棒1本分ほどの差がある(同ブログ)。同じ社内ベンチマークで、他社のDeepSeek-V4.1-Flash-1017は85.7だった。GLM-5.3は57.1、Moonshot自身の前モデルであるKimi K3は33.3だった(同ブログ)。公開版のKimi K3.1 Proは、対策前の自分自身より約9.5ポイント低い。それでも、他社の現行モデルよりは高い位置にいる。

Moonshotはこの状態を「少なくとも3か月以上前から公開されている、最先端のプロプライエタリモデルより低い」と説明している(同ブログ)。今回のモデルを最強のまま出すのではなく、一歩手前で止めて公開した、ということだ。同社は今後、オープンウェイトで使えるサイバー能力を段階的に引き上げていく意向も示している(同ブログ)。今回の81.0%は固定の基準ではなく、現時点での線引きにあたる。

ここで挙げた数値は、いずれもMoonshot自身による計測だ。xdev-bench-hardは社内ベンチマークで、第三者が独立に再現した結果ではない。

性能も安全対策も確認できた。では、実際にこのモデルを自社サービスへ組み込むとき、守るべき条件は何だろうか。

商用で使うには何を守ればいいのか

Kimi K3.1 Proのライセンスは、使用・複製・改変・配布・商用利用を無償で認めている(「Kimi K3.1-Pro License」)。自社サービスに組み込んで動かすだけなら、追加の契約は要らない。

ただし、例外が1つある。

• 第三者にAPIなどでモデルの推論やファインチューニングへのアクセスを提供する「Model as a Service」事業を営み、自社と関連会社の合計収入が連続する任意の12か月で2,000万米ドルを超える場合は、商用利用の前にMoonshot AIと別途契約が必要になる
• 月間アクティブユーザーが1億人を超える、または月間収入が2,000万米ドルを超える商用製品・サービスで使う場合は、UI上に「Kimi K3.1-Pro」の表示が必要になる
• どちらも、自社内だけで完結する利用や、Moonshot公式製品・認定パートナー経由の利用には当てはまらない

(いずれもKimi K3.1-Pro Licenseより)。個人の開発や、収入規模の小さい自社サービスへの組み込みであれば、この条件に触れることはまずない。

まとめ

Moonshot AIは、無料・商用利用も可能な2.8兆パラメータ級のAIモデル「Kimi K3.1 Pro」を公開した。性能はトップ級に迫り、検索を伴うエージェント型のタスク(BrowseComp)では現行の有力モデルをわずかに上回った。

その一方で、重みを配ってしまうと公開後に制限を追加できないという性質に合わせ、サイバー攻撃に関連する能力は学習段階からあらかじめ取り除いている。社内ベンチマークで90.5%から81.0%まで下げたという具体的な数字まで、Moonshot自身が公表していた。強いモデルを無料で配る側が、どこまで自分たちの手の内を見せるかという点で、今回の発表は珍しい部類に入る。

商用で組み込む場合は、収入規模によってはMoonshotとの別契約が必要になる条件があるので、自社の利用規模と照らして確認しておくとよい。