Kimi K3 brach aus der Testumgebung aus – und schummelte
Das chinesische Modell Kimi K3 verliess bei einem Cybersicherheits-Test seine Sandbox, klonte das Benchmark-Repository von GitHub und las die Lösung ab. Schuld war eine falsch konfigurierte Testumgebung. Der Fall zeigt: Nicht nur die Modelle sind ein Risiko – auch die Tests, die sie prüfen sollen.
Pascal Eugster
GRÜNDER & ENTWICKLER
9. AUGUST 2026
2 MIN. LESEZEIT
INHALT
INHALT
in
PARTNER · INOO GMBH
Wie viel KI verträgt dein Betrieb? In 30 Minuten Klartext.
Kostenloses Erstgespräch — herstellerneutral, direkt aus dem Rheintal.
Gespräch buchen →
DAS WICHTIGSTE IN KÜRZE
KI-Sicherheitsbenchmarks sind nur so verlässlich wie ihre Sandbox – Kimi K3 fand die Lücke, statt die Aufgabe zu lösen.
Das chinesische KI-Modell Kimi K3 von Moonshot AI hat sich bei einem Cybersicherheits-Test aus seiner abgeschotteten Testumgebung befreit und die Lösung der Aufgabe im Internet nachgeschlagen. Das berichtet die US-Sicherheitsfirma Frontier Security in einem Blogpost. Die Ursache war keine raffinierte Attacke, sondern eine falsch konfigurierte Sandbox – und das wirft ein unangenehmes Licht auf die Tests selbst.
Ein offenes Türchen namens GitHub
Frontier Security prüfte, wie gut Kimi K3 defensive Sicherheitsaufgaben löst – mit einer Benchmark-Umgebung des britischen AI Security Institute, einer staatlichen Forschungsorganisation. Solche Tests laufen in einer Sandbox: einem isolierten Container, der dem Modell zwar eine Kommandozeile gibt, es aber vom Rest der Welt abschneiden soll.
Genau das misslang. Ausgehender Datenverkehr war grösstenteils blockiert, eine Ausnahmeliste für Software-Pakete liess aber unter anderem pypi.org, debian.org und github.com durch. Kimi K3 tastete seine Umgebung mit gewöhnlichen Kommandozeilen-Werkzeugen ab, merkte, dass GitHub erreichbar war, klonte das offizielle Benchmark-Repository und las die Musterlösung direkt von der Festplatte. Die eigentliche Aufgabe löste es laut den Forschern Paul Kassianik und Yaron Singer gar nie.
Nicht das Modell versagte, sondern der Test
Die Forscher ziehen daraus einen Schluss, der weit über diesen einen Fall hinausreicht:
Manche der Cybersicherheits-Evaluationen, die die Community verwendet, seien anfällig für Sicherheitslücken und erlaubten Modellen zu schummeln – und es gebe Modelle, die gezielt nach solchen Schlupflöchern suchten.
