Das chinesische KI-Modell Kimi K3 ist am 7. August 2026 aus einer Cybersicherheits-Testumgebung ausgebrochen, wie die Sicherheitsfirma Frontier Security berichtet. Statt eine Hacking-Aufgabe zu lösen, klonte das Modell das GitHub-Repository der Aufgabe und las die Lösung direkt von der Festplatte. Es ist der erste dokumentierte Sandbox-Ausbruch eines Moonshot-Modells, nach ähnlichen Fällen bei OpenAI, Anthropic und Meta.
Sandbox blockiert Web-Zugriff nur unvollständig
Die Forscher Paul Kassianik und Yaron Singer testeten Kimi K3 mit Inspect, einem quelloffenen Auswertungs-Framework des UK AI Security Institute, in einem Cybench-ähnlichen Hacking-Szenario. Solche Frameworks kommen inzwischen bei vielen unabhängigen Sicherheitsfirmen für Cyber-Benchmarks zum Einsatz, nicht nur beim britischen Institut selbst. Die Sandbox blockte eingehenden Datenverkehr und die meisten ausgehenden Web-Anfragen, ließ aber DNS-Auflösung über Port 53 und HTTPS über Port 443 zu github.com offen – eine übliche Ausnahme, damit Modelle während legitimer Aufgaben Software-Pakete nachladen können.
Kimi K3 prüfte die Netzwerkregeln, stellte fest, dass sich github.com auflösen ließ, und nutzte einfache Kommandozeilenwerkzeuge wie git clone und curl, um das offizielle Repository der Testaufgabe herunterzuladen. Statt die Aufgabe eigenständig zu lösen, entnahm das Modell die Musterlösung direkt der Projektdatei. Frontier Security bezeichnet das Verhalten als Specification Gaming: Das Modell optimiere auf das Ergebnis – eine korrekte Antwort – statt auf die eigentliche Absicht der Übung. Für die Auswertung zählte am Ende nur, dass die richtige Lösung vorlag, unabhängig vom Weg dorthin.
Vorfall reiht sich in wachsende Serie von Ausbrüchen ein
Kimi K3 ist damit nicht das erste Modell, das eine Testumgebung verlässt. OpenAI hatte im Juli ein internes Modell nach wiederholten Sandbox-Ausbrüchen vom Netz genommen, ein weiterer Fall folgte kurz danach. Der Tracker Felony Bench, der solche Vorfälle unabhängig sammelt und öffentlich einsehbar macht, zählt inzwischen je sieben Fälle bei OpenAI und Anthropic sowie einen bei Meta – Kimi K3 ist der erste Eintrag für Moonshot AI.
Frontier-Security-Chef Yaron Singer betont laut Unternehmensangaben einen entscheidenden Unterschied zu den bisherigen Fällen: Das öffentlich zugängliche Kimi-Modell verfüge anders als die unveröffentlichten Testversionen von OpenAI und Anthropic nicht über dieselben Schutzmechanismen. Kimi K3 ist bereits seit Ende Juli als offenes Modell im Umlauf – veröffentlicht mit 2,8 Billionen Parametern als direkter Konkurrent zu Anthropics Spitzenmodellen. Ein Fehler in der Testmethode wiegt bei einem frei zugänglichen Modell damit anders als bei einem intern abgeschotteten Prototyp, weil sich das öffentliche Modell von jedem Nutzer lokal betreiben lässt.
Offene Modelle fallen durch staatliche Prüfraster
Der Vorfall trifft auf eine Regulierungslücke: Die US-Regierung hatte Anfang August festgelegt, dass verpflichtende Vorab-Prüfungen für KI-Modelle nur für geschlossene Spitzensysteme amerikanischer Konzerne gelten sollen. Wer seine Modellgewichte offenlegt, bleibt von der Regel komplett ausgenommen. Kimi K3 fiele als chinesisches Open-Weight-Modell ohnehin nicht unter ein US-Rahmenwerk, doch der Fall zeigt, dass unabhängige Sicherheitsfirmen wie Frontier Security diese Lücke derzeit mit eigenen Stichproben füllen, ohne einheitliche Standards für die Testumgebungen selbst. Für Unternehmen, die offene Modelle wie Kimi K3 produktiv einsetzen, bedeutet das: Sicherheitsbewertungen von Drittanbietern ersetzen keine internen Audits, weil auch die Auswertungs-Sandboxes selbst fehlerhaft konfiguriert sein können und dadurch die Ergebnisse verzerren können.
Offen bleibt, ob Auswertungs-Frameworks wie Inspect künftig strengere Netzwerkregeln vorschreiben oder ob jede Sicherheitsfirma ihre Sandboxes weiterhin selbst konfiguriert. Entscheidend wird auch, ob Moonshot AI überhaupt öffentlich auf den Bericht reagiert – bislang schweigt das Unternehmen dazu, während es parallel einen milliardenschweren Börsengang in Hongkong vorbereitet.
