해킹 점수는 낮아졌지만, 모델은 더 강력해져
베이징에 본사를 둔 스타트업 Moonshot AI는 2026년 11월 4일로 예정된 모델 파일 공개를 앞두고 Kimi K3.1 Pro의 공격형 해킹 능력을 낮췄다고 밝혔다. 이에 따라 내부 소프트웨어 취약점 악용 테스트 점수는 90.5%에서 81.0%로 하락했다. 다만 조정된 모델은 여전히 전작의 33.3%보다 훨씬 높은 점수를 기록했다.
목차
Moonshot은 10월 23일 K3.1 Pro를 출시하고, 10월 24일 성능 제한 조치의 개요를 발표했다. 특정 사이버 기술을 가르치는 데 사용된 자료는 제거하되, 소프트웨어를 개발하고 수리하는 데 유용한 일반적인 프로그래밍 능력은 유지하는 방식이다.
이번 발표는 중국 상무부와 과학기술부가 새로운 기술 수출 통제를 제안한 지 8일 만에 나왔다. 이 제안은 AI로 악성 코드를 생성·수정하는 기술의 수출을 금지하고, AI를 활용해 소프트웨어 취약점을 찾아내는 기술의 수출은 제한하도록 했다.
Moonshot의 이번 출시는 두 가지 쟁점을 맞물리게 한다. 널리 다운로드할 수 있는 모델에 어느 정도의 해킹 능력을 허용해야 하는지, 그리고 소프트웨어 방어자와 공격자 모두에게 도움이 될 수 있는 기술을 정부가 어떻게 규제해야 하는지다.
Moonshot은 이번 공개에 적용할 기준을 설명하며 다음과 같이 밝혔다.
사이버 역량의 절대적 한계를 확장할 수 있는 오픈 웨이트는 공개하지 않는 것을 목표로 합니다.
회사가 말하는 웨이트는 모델이 학습한 내용을 담은 파일이다. 이를 공개하면 외부 개발자가 자신의 컴퓨터에서 시스템을 실행하고 수정할 수 있다. 사용자의 통제권은 커지지만, 복사본이 퍼진 뒤에는 Moonshot이 접근을 관리하거나 안전장치를 변경하기 어려워진다.
Moonshot이 제거한 것
Moonshot에 따르면 사이버 관련 자료는 두 경로를 통해 모델 개발에 들어갔다. 중간 학습 단계에서 사용된 일반 학습 자료 모음과 강화학습 환경에 포함된 사이버 작업이다. 강화학습은 과제를 반복해서 시도하고 수행 결과에 대한 피드백을 받으며 모델을 개선하는 방식이다.
회사는 일반적인 코딩 작업은 유지하면서 두 단계에서 사이버 자료를 제거했다. xdev-bench-hard라는 내부 테스트는 모델이 최근 공개된 소프트웨어 취약점을 재현하고 이를 악용하는 방법을 개발할 수 있는지 측정하며, 세 번의 시도 안에 성공하면 성공으로 집계한다.
테스트에는 Linux 커널, Node.js, JavaScriptCore 등 소프트웨어의 취약점이 포함된다. 이들은 운영체제, 서버 애플리케이션, 자바스크립트 코드를 실행하는 데 쓰이는 구성요소다. 익스플로잇은 소프트웨어의 약점을 이용해 접근 권한을 얻거나 프로그램을 의도하지 않은 방식으로 작동시키는 등 특정 행위를 하게 만드는 방법이다.
필터링 이후 K3.1 Pro의 점수는 90.5%에서 81.0%로 9.5%포인트 하락했다. 같은 내부 비교에서 DeepSeek V4.1-Flash는 85.7%를 기록해, 필터링된 Kimi 모델보다 높은 점수를 얻었다.
전작인 Kimi K3의 점수는 33.3%였다. 따라서 필터링된 후속 모델은 47.7%포인트 앞섰다. 이는 표적형 제한 조치 이후에도 해당 과제를 수행하는 능력이 크게 발전했음을 보여준다.
해킹에도 중요한 일반 코딩 능력
Moonshot은 사이버 역량이 여전히 높은 이유 중 하나로 장시간 작업을 이어가는 일반적인 프로그래밍 및 디버깅 능력의 향상을 꼽았다. 코드를 살펴보고 여러 파일에 걸쳐 오류를 추적하며 수정 방법을 시험할 수 있는 모델은 같은 능력을 취약점을 찾고 악용하는 데도 적용할 수 있다.
회사는 출시 블로그에서 두 능력의 관계를 다음과 같이 설명했다.
전작보다 크게 향상됐다. 이는 표적형 데이터 제거 이후에도 일반 코딩과 장기간에 걸친 디버깅 능력의 강화가 사이버 과제에 전이됨을 보여준다.
소프트웨어 방어자는 이런 능력을 활용해 관심을 거의 받지 못하는 구형 시스템을 점검할 수 있다. Moonshot은 오픈 웨이트의 장점을 설명하며 이를 언급했다. 조직은 모델을 자체 환경에서 실행해 자신들이 유지·관리하는 소프트웨어를 살펴볼 수 있다.
공격자는 비슷한 능력으로 취약점을 찾고 침입 과정의 일부를 자동화할 수 있다. 따라서 실질적인 쟁점은 모델이 명시적으로 악의적인 사례를 학습했는지 여부에 그치지 않는다. 유용한 코딩 능력이 공격 작업에도 전이될 수 있기 때문이다.
Moonshot의 xdev-bench-hard 테스트는 공개되지 않았고, 결과도 독립적으로 검증되지 않았다. 또한 외부 개발자의 추가 학습으로 출시 전에 제거된 역량을 되살릴 수 있는지도 회사는 설명하지 않았다. 사용자가 모델 파일을 수정할 수 있는 만큼, 이는 모델을 평가하는 데 핵심적인 질문이다.
정부 테스트에서 확인된 Kimi K3의 성능
영국 인공지능보안연구소(UK Artificial Intelligence Security Institute)와 미국 AI 표준·혁신센터(Center for AI Standards and Innovation)는 앞서 2026년 7월 16일 출시된 Kimi K3를 평가했다. 오픈 웨이트 공개는 7월 27일로 예정돼 있었다. 두 기관의 공동 사이버 평가는 전작을 살펴볼 수 있는 독립적인 참고 자료다.
K3는 ExploitBench에서 32%를 기록해 GLM-5.2의 24%보다 높았다. Carnegie Mellon University가 개발한 이 벤치마크는 Chrome에서 자바스크립트와 WebAssembly를 실행하는 소프트웨어 엔진인 V8의 취약점 41개를 악용하는 과정에서 모델이 얼마나 진전하는지 평가한다.
K3는 41개 표본 가운데 어느 것에서도 임의 코드 실행에 성공하지 못했다. 선도 모델들은 평균 20개 표본에서 성공했다. 임의 코드 실행은 공격자가 선택한 명령을 대상 시스템이 실행하도록 만드는 것으로, 공격자가 시스템을 제어할 수 있어 특히 심각한 결과로 이어질 수 있다.
두 기관은 약 20대의 컴퓨터가 4개 네트워크 구간에 걸쳐 있는 모의 기업 네트워크인 The Last Ones에서도 K3를 시험했다. 이 훈련은 32단계의 공격 과정으로 이뤄져 있으며, 사람이 수행하면 전문가 기준 약 20시간이 걸린다.
1억 토큰 한도 안에서 K3는 평균 17단계까지 도달했다. GLM-5.2는 11단계, 선도 미국 모델들은 28.5단계까지 진행했다. K3는 10번의 시도 중 한 번 전체 훈련을 완료했다. 가장 뛰어난 모델들은 10번 중 6~7번 완수했다.
테스트의 한계 이해하기
영국과 미국 기관은 평가 과정에서 K3의 안전장치가 익스플로잇 개발과 공격형 사이버 작업을 시도하는 것을 허용했다고 밝혔다. 평가 결과 K3는 오픈 웨이트를 제공한 이전 선도 모델보다 뛰어났지만, 평가 대상 중 가장 강력한 모델에는 미치지 못했다.
The Last Ones 훈련은 네트워크에 처음 접근한 상태에서 시작됐다. 의도적으로 마련된 공격 경로가 있었고, 능동적으로 대응하는 방어자나 방어 도구는 없었으며, 보안 경보를 유발할 행동에도 불이익이 없었다. 이런 조건은 모델이 공격을 수행할 수 있도록 구조화된 환경을 제공했다.
두 기관은 이번 평가를 예비적이고 선택적인 평가라고 설명했다. K3의 종합 역량 추정치는 하나의 벤치마크에 기반했다. 따라서 더 폭넓은 과제 집합으로 평가된 모델의 추정치보다 통계적 불확실성이 크다.
미국의 비공개 웨이트 모델은 평가자가 거부 응답을 줄인 상태에서 최대 역량을 측정할 수 있도록 시스템 안전장치를 비활성화해 시험했다. 일반에 공개된 버전에서는 안전장치가 활성화돼 있다. 따라서 결과를 비교할 때는 모델 자체의 기술뿐 아니라 모델에 접근할 때 사용하는 서비스에 적용된 통제도 고려해야 한다.
K3.1 Pro의 새 점수인 81.0%는 Moonshot의 별도 내부 테스트에서 나온 결과다. 같은 테스트에서 전작이 33.3%를 기록했으므로, 이 시험 안에서 두 모델을 비교하는 것이 가장 유용하다. 새 모델에 대한 독립 평가가 이뤄지면 보안팀이 역량을 판단하는 데 더 확실한 근거가 될 수 있다.
중국, 금지·제한 조치 제안
중국의 두 부처는 2026년 10월 16일 제48호 공고를 발표했다. 이 공고는 수출 금지·제한 기술 목록의 개정안에 대한 의견을 수렴하며, 의견 제출은 11월 15일까지 가능하다.
추가 제안 대상은 AI 23개, 바이오의약 5개, 태양광 제조 12개 등 총 40개 기술이다. 세 분야 전체를 합쳐 14개 기술은 수출이 금지되고, 26개 기술은 제한을 받게 된다.
AI 분야에는 대형 모델, 에이전트, 컴퓨팅 클러스터, 정보처리 기술이 포함된다. 에이전트는 한 가지 질문에 답하는 데 그치지 않고 도구를 사용해 목표를 향해 일련의 작업을 수행하는 시스템이다.
악성 코드를 생성·수정하는 AI 기술은 수출 금지 제안 대상이다. 취약점을 찾아내는 AI 기술은 수출 제한 제안 대상이다. 금지는 해당 수출을 막는 조치인 반면, 제한은 대상 기술의 이전에 수출 통제를 적용한다는 점에서 차이가 있다.
상무부의 정책 설명에 따르면 이 기술들은 핵심 정보 인프라, 방위산업 시스템, 정부 핵심 시스템을 공격하거나 보안 보호조치를 우회하는 데 사용될 수 있다. 상무부는 이번 개정이 특정 국가·지역·단체를 겨냥하지 않는 통상적인 기술 무역 관리 조치라고 설명했다.
최종 규정 전에 시작된 등록
중국의 목록 개정안은 현재 의견 수렴 단계지만, 임시 등록 요건은 10월 16일 공고와 함께 발효됐다. 수출업체는 개정 목록이 시행될 때까지 대상 기술을 수출하기 전에 등록해야 한다. 이미 시작됐지만 완료되지 않은 이전도 포함된다.
공고는 적용 대상이 되는 몇 가지 거래 유형을 명시했다. 기술 소유권의 해외 이전, 국내 기술의 해외 사용 허가, 국내 기술의 소유권 또는 실질적 통제권이 외국으로 넘어가는 변경 등이 포함된다.
등록은 상무부 통합 업무 플랫폼의 기술 무역 신청 절차를 통해 이뤄진다. 수출업체는 수출업체와 수령인, 목적지 국가·지역, 기술, 사용 목적, 예상 수출액 등의 세부 정보를 제출해야 한다.
상무부는 기술 이전과 서비스 접근 제공도 구분한다. 제안된 규정에 대한 설명에 따르면, 해외 현지에 제한 대상 AI 기술을 배포하는 행위는 수출 관리 대상에 포함된다. 기업 자체 해외 클라우드에 배포하는 등 일부 거래는 자동 허가 절차를 적용받을 수 있다.
API, 앱, 웹사이트, 서비스형 소프트웨어를 통해 모델 접근을 제공하는 행위는 설명에 제시된 대형 모델 기술 수출 범주에 포함되지 않는다. 현지 기기에서 경량 모델을 배포하는 경우도 해당 범주에서 제외된다. API는 한 컴퓨터 프로그램이 다른 프로그램에 서비스를 요청할 수 있게 해주는 인터페이스로, 고객은 기반 파일을 받지 않고 모델을 사용할 수 있다.
오픈 공개에 적용되는 별도 기준
중국의 공고는 오픈소스 공개나 학술 논문을 통해 이미 공공 영역에 공개된 기술을 제외한다. 상무부는 오픈 공개, 해외 연구 협력 및 관련 활동을 포함하는 일부 AI 기술 수출에 자동 허가 등 간소화된 절차를 적용할 수 있다고도 설명했다.
따라서 기술 역량뿐 아니라 공개 및 이전 방식도 중요하다. 호스팅 모델을 제공하는 기업, 해외 배포를 위해 제한 대상 기술을 이전하는 기업, 이미 공공 영역에 공개된 기술을 배포하는 개발자는 제시된 체계에 따라 서로 다른 대우를 받을 수 있다.
Moonshot이 계획한 웨이트 공개는 이러한 차이를 국제적 확산 측면에서도 중요하게 만든다. 정부는 이 문서들에서 K3.1 Pro의 분류를 공개적으로 밝히지 않았으며, 최종 목록의 시행 시점도 제시되지 않았다.
출시 일정과 정책 절차가 맞물리는 다음 날짜는 다음과 같다.
- 2026년 7월 16일: Kimi K3 출시. 웨이트 공개는 7월 27일로 예정됐다.
- 10월 16일: 중국, 제48호 공고 발표. 의견 수렴을 시작하고 임시 수출 등록 절차를 시행했다.
- 10월 23일: Moonshot, K3.1 Pro 출시.
- 10월 24일: Moonshot, 공격형 사이버 역량 제한 조치의 개요 발표.
- 11월 4일: Moonshot, K3.1 Pro의 웨이트 공개 예정일.
- 11월 15일: 수출 목록 개정안에 대한 의견 제출 마감.
더 낮은 이용 비용으로 강화된 역량
K3.1 Pro의 폭넓은 출시는 사이버 역량이 전문 보안 작업을 넘어 중요한 이유를 보여준다. 이 모델은 전체 파라미터가 2조8천억 개, 활성 파라미터가 1,040억 개로, Moonshot이 설명한 약 3조 개 파라미터급 모델에 속한다. 파라미터는 학습 과정에서 모델이 익히는 수치 설정이다.
모델의 컨텍스트 창은 100만 토큰이며 텍스트와 이미지를 입력으로 받을 수 있다. 토큰은 시스템이 처리하는 정보 단위다. 컨텍스트 창이 클수록 한 번의 작업에서 더 많은 자료를 다룰 수 있다. Moonshot은 K3.1 Pro Highspeed도 제공하며, 일반 버전보다 2~3배 빠르다고 밝혔다.
표준 API 요금은 입력 토큰 100만 개당 3달러에서 2달러로, 출력 토큰 100만 개당 15달러에서 10달러로 각각 3분의 1 인하됐다. 이전에 처리한 자료를 재사용하는 캐시 입력은 토큰 100만 개당 0.30달러에서 0.20달러로 낮아졌다. Highspeed 요금은 입력 토큰 100만 개당 4달러, 출력 토큰 100만 개당 20달러다.
Artificial Analysis의 Intelligence Index에서 K3.1 Pro는 55점을 받아 4위에 올랐다. K3보다 11점 높고, 58점을 기록한 Claude Opus 5.5보다 3점 낮다. Moonshot의 터미널 코딩 비교에서는 K3.1 Pro가 65.7%를 기록해 Opus 5.5의 66.4%에 근접했다. 그러나 과학 분야 터미널 작업에서는 K3.1 Pro가 38.1로, GPT-6 Astra의 68.1과 Opus 5.5의 63.3보다 낮았다.
Moonshot은 서로 다른 테스트에서 나온 오류율도 각각 공개했다. 출시 블로그는 허위 또는 부정확한 주장의 비율이 K3의 23.4%에서 8.3%로 낮아졌다고 밝혔다. API 빠른 시작 안내서는 서로 다른 대화 집합을 이용한 결과라며 23.35%에서 6.85%로 하락했다고 제시했다. 두 문서 모두 특화된 테스트를 설명하고 있어, 고객은 실제 업무에서 여전히 답변을 확인해야 한다.
개발자와 보안팀이 당장 얻는 변화는 더 낮은 토큰 요금으로 향상된 코딩 및 자동화 기능을 이용할 수 있다는 점이다. Moonshot이 웨이트를 공개하면 배포, 수정, 안전장치에 관한 결정권은 이를 내려받는 조직으로 더 많이 넘어가게 된다.
핵심 사항
- Moonshot은 사이버 학습 자료를 제거한 뒤 K3.1 Pro의 내부 익스플로잇 테스트 점수가 90.5%에서 81.0%로 낮아졌다고 밝혔다.
- 필터링된 모델은 같은 테스트에서 Kimi K3가 기록한 33.3%보다 여전히 높은 점수를 얻었다.
- 내부 벤치마크는 공개되지 않았으며 새 결과도 독립적으로 검증되지 않았다.
- 영국과 미국의 이전 평가에서 K3는 모의 기업 네트워크 공격을 10번 중 한 번 완료했다.
- 중국은 AI 악성코드 기술의 수출을 금지하고 AI 취약점 탐지 기술의 수출을 제한하는 방안을 제안했다.
- 임시 수출 등록은 10월 16일 시작됐다. 공개 의견 수렴은 11월 15일 마감된다.
- Moonshot은 11월 4일까지 K3.1 Pro의 웨이트를 공개할 계획이며, 공개 후에는 외부 개발자가 모델 사용 방식을 더 폭넓게 통제할 수 있다.
