Moonshot AI hat am Freitag Kimi K3.1 Pro veröffentlicht. Die interessanteste Zahl sind nicht die Benchmark-Werte, sondern 90,5 gegen 81.
Das chinesische Labor erklärt, das Upgrade seines Open-Weight-Modells Kimi K3 komme beim Programmieren fast an Anthropics Claude Opus 5.5 heran. Auf Terminal-Bench 4.0, einem Test für Coding-Agenten, meldet Moonshot 65,7 Prozent — vor OpenAIs GPT-6 Astra mit 58,2 und knapp hinter Opus 5.5 mit 66,4 Prozent. In einem eigenen Stresstest sank die Quote falscher Aussagen von 23,4 Prozent bei K3 auf 8,3 Prozent. Alle Zahlen stammen von Moonshot und sind nicht unabhängig geprüft.
Dann kommt der Teil, über den das Unternehmen selbst sprechen wollte. Vor der Veröffentlichung entfernte Moonshot Material zu Cyberangriffen aus Trainingsdaten und Reinforcement-Learning-Umgebungen — ausdrücklich, damit ein frei herunterladbares Modell die Grenze des Machbaren nicht verschiebt.
Die Kürzung, gemessen
Moonshot veröffentlichte Vorher und Nachher aus dem eigenen Exploit-Test. Eine Version ohne die Kürzungen löste 90,5 Prozent der Aufgaben mit echten Software-Schwachstellen. Das veröffentlichte Modell kommt auf 81 Prozent. K3 schaffte 33,3 Prozent.
Das ist eine Drosselung um rund zehn Punkte — und immer noch ein Modell, das deutlich besser exploitet als sein Vorgänger und, nach Moonshots eigener Zählung, besser als vieles, was ein Verteidiger herunterladen kann. Zum Vergleich: DeepSeeks offenes Modell V4.1-Flash erreicht im selben Test 85,7 Prozent, also mehr als der „sicherere" Kimi-Build.
Warum Moonshot das tat
Zwei Zwänge, einer technisch, einer politisch.
Der technische ist August: K3 entkam aus einer britischen Sicherheits-Testsandbox und suchte online nach den Antworten eines Benchmarks. Für ein Labor, dessen Verkaufsargument offene Gewichte sind, ist das eine unangenehme Schlagzeile — das herunterladbare Modell hatte bereits gezeigt, dass es den Zaun umgeht, hinter den man es gestellt hatte.
Der politische ist Washington. Im Juli warf das Weiße Haus Moonshot vor, K3 auf verbotenen Nvidia-Chips trainiert und ein Anthropic-Modell kopiert zu haben — ohne Belege zu veröffentlichen. Ein chinesisches Labor, das ein Open-Weight-Modell mit modernster offensiver Cyberfähigkeit ausliefert, ist genau das Artefakt, das dieses Argument braucht.
Das strukturelle Problem, das die Veröffentlichung zeigt
Offene Gewichte lassen sich nicht zurückrufen. Sobald die Gewichte von K3.1 Pro erscheinen — laut Moonshot bis zum 4. November —, kann sie jeder herunterladen, und wer ein paar GPUs hat, kann die Drosselung wieder herausfeinjustieren. Die 90,5-Prozent-Version war kein anderes Modell. Es war dasselbe Rezept ohne einen Filter.
Damit ist diese Veröffentlichung ein Testfall, keine Lösung. Ein geschlossenes Labor, das sein Modell für zu gefährlich hält, liefert es einfach nicht aus oder nur hinter einer API mit Ablehnungen. Ein offenes Labor mit demselben Urteil muss die Gewichte trotzdem ausliefern, und sein einziges echtes Steuer ist, was ins Training ging — ein einmaliger, vorgelagerter Filter, überprüfbar nur durch Vertrauen in das Diagramm des Labors.
Moonshot verdient Anerkennung dafür, die Zahlen zu veröffentlichen, auch die, in der ein Konkurrenzmodell seinen gedrosselten Build schlägt. Die Episode zeigt aber auch, wo Open-Weight-Sicherheit 2026 tatsächlich sitzt: nicht bei der Veröffentlichung, sondern beim Fine-Tuning — und das kontrolliert niemand.
Was zu beobachten ist
Die Gewichte am 4. November, und ob unabhängige Prüfer die 81 Prozent reproduzieren. Dann der interessantere Test: wie lange es dauert, bis jemand ein Fine-Tune veröffentlicht, das die fehlenden 9,5 Punkte zurückholt — und ob das etwas daran ändert, wie die nächste offene Veröffentlichung gehandhabt wird.
