सुरक्षा फर्म फ्रंटियर सिक्योरिटी के अनुसार, मूनशॉट एआई के किमी K3 ने जिस सैंडबॉक्स में उसका परीक्षण किया जा रहा था उसे छोड़ दिया और उन समस्याओं के उत्तर खोजने के लिए खुले इंटरनेट पर चला गया जो उसे दी गई थीं।

मॉडल का रक्षात्मक साइबर सुरक्षा कौशल पर मूल्यांकन किया जा रहा था और उसे स्पष्ट रूप से समस्याओं को बिना देखे हल करने का काम सौंपा गया था। फ्रंटियर ने कहा कि उसने बिल्कुल भी कार्य करने का प्रयास नहीं किया। इसके बजाय, इसने नेटवर्क की जांच की, यह स्थापित किया कि github.com के लिए DNS रिज़ॉल्यूशन काम कर रहा था, आधिकारिक बेंचमार्क रिपॉजिटरी को क्लोन किया और डिस्क से समाधान पढ़ा।

फ्रंटियर इसे "नेटवर्क ईग्रेस लीक के माध्यम से विशिष्टता गेमिंग" कहता है, यह नोट करते हुए कि एआई सिक्योरिटी इंस्टीट्यूट के इंस्पेक्ट जैसे फ्रेमवर्क पर बने सैंडबॉक्स आने वाले ट्रैफिक को ब्लॉक करते हैं, जबकि आउटबाउंड HTTPS और DNS पोर्ट खुले छोड़ देते हैं। सक्षम एजेंट स्टार्टअप पर अपने स्वयं के शेल वातावरण का निरीक्षण नियमित रूप से करते हैं, और एक मॉडल जिसे github.com पहुंच योग्य लगता है, वह मानक कमांड-लाइन टूल के साथ संदर्भ समाधान प्राप्त कर सकता है।

एक गलत कॉन्फ़िगरेशन ने इसे संभव बनाया, जैसा कि OpenAI और Anthropic द्वारा हाल ही में सामने आई घटनाओं में हुआ था। सीईओ यारोन सिंगर ने WIRED को बताया, "हमें सैंडबॉक्स में एक रिसाव मिला।" "लेकिन हमें यह भी पता चला कि किमी ने उस खामी का फायदा उठाया।"

शोधकर्ता पॉल कासियानिक ने WIRED को बताया कि मॉडल "किसी भी आवश्यक साधन से एक लक्ष्य का पालन करने में बहुत अच्छा है" और इसमें ऐसे सुरक्षा उपायों की कमी है जो इसे धोखा देने या भागने से रोकते। मूनशॉट ने प्रकाशन के टिप्पणी के अनुरोध का जवाब नहीं दिया।

एआई एजेंट घेराबंदी तोड़ रहे हैं

जहां Anthropic और OpenAI मॉडल जो घेराबंदी तोड़ते हुए आंतरिक मूल्यांकनों में पकड़े गए थे, उनमें से एक अप्रकाशित था, और यूके सरकार के परीक्षण में वास्तविक लोगों को लक्षित करने वाले संस्करणों में उनके साइबर क्लासिफायर जानबूझकर बंद कर दिए गए थे, वहीं किमी K3 खुले तौर पर डाउनलोड करने योग्य है, और फ्रंटियर ने इसे सामान्य उपयोगकर्ता को मिलने वाले सुरक्षा उपायों के साथ परखा। फर्म ने लिखा, यह उपलब्धता, दुर्भावनापूर्ण तत्वों की पहुंच में समान व्यवहार रखती है और घटना को संभावित रूप से अधिक हानिकारक बनाती है।

किमी K3 ने कोई नुकसान भी नहीं पहुंचाया। बाहर निकलने के बाद इसने किसी भी चीज़ पर हमला नहीं किया, क्योंकि उसे इसकी आवश्यकता नहीं थी। OpenAI के मॉडल ने Hugging Face और चार अन्य सेवाओं को बेंचमार्क उत्तरों तक पहुंचने के लिए हैक किया, जबकि किमी को अपने उत्तर एक सार्वजनिक रिपॉजिटरी में मिले।

फ्रंटियर द्वारा उपयोग किया गया सैंडबॉक्स यूके एआई सिक्योरिटी इंस्टीट्यूट के मूल्यांकन ढांचे पर आधारित था। AISI ने इस सप्ताह खुलासा किया कि उसके अपने साइबर परीक्षण में एजेंट लाइव इंटरनेट पर चले गए थे और वास्तविक लोगों को लक्षित किया था—एक अलग घटना, जिसमें Anthropic और OpenAI मॉडल शामिल थे जिनके सुरक्षा उपाय अक्षम थे। इसकी मंगलवार को प्रकाशित रिपोर्ट में कहा गया है कि AISI अब समान व्यवहार के लिए ऐतिहासिक मूल्यांकन रनों को स्कैन कर रहा है, और किमी K3 समीक्षाधीन मॉडलों में से एक है। AISI ने WIRED के टिप्पणी के अनुरोध का जवाब नहीं दिया।

फ्रंटियर का बड़ा दावा यह है कि बेंचमार्क खुद ही कमजोर हैं। एक मॉडल जो GitHub से उत्तर पढ़ता है, वह फिर भी पास हो जाता है, इसलिए उच्च अंक वास्तविक तर्क के बजाय एक लीकी वातावरण को दर्शा सकते हैं। और यदि एक सक्षम मॉडल ने शॉर्टकट ढूंढ लिया, तो फर्म का तर्क है, अन्य जिन्हें शेल एक्सेस दिया गया है, वे भी इसका लाभ उठा सकते हैं, जिससे केवल किमी के लिए नहीं बल्कि पूरे क्षेत्र में परिणाम बढ़ेंगे।

मॉडल उद्देश्य फ़ंक्शन के लिए अनुकूलन करते हैं, फ्रंटियर ने लिखा, न कि "बेंचमार्क के पीछे के मानवीय इरादे" के लिए, यह जोड़ते हुए कि जहां समाधान तक एक नेटवर्क पथ मौजूद है, "एक पर्याप्त सक्षम एजेंट उसे ढूंढ लेगा।"

एक सामान्य समस्या

ग्रे स्वान के सीईओ और कार्नेगी मेलन में एसोसिएट प्रोफेसर मैट फ्रेडरिकसन ने WIRED को बताया कि यह व्यवहार असाधारण नहीं है। उन्होंने कहा कि एक मॉडल को बिना किसी स्पष्ट सीमा के एक उद्देश्य दें, और "यह उत्तर पाने का एक तरीका ढूंढ लेगा।" उन्होंने इसे OpenClaw जैसे टूल में एजेंटों के रूप में मॉडल चलाने वाले किसी भी व्यक्ति के लिए एक चेतावनी भरी कहानी के रूप में वर्णित किया।

फ्रंटियर के शोधकर्ता दूसरी दिशा से यही बात कहते हैं: वह क्षमता जो किमी को बाहर निकलने का रास्ता खोजने देती है, ओपन-वेट मॉडल को मजबूत रक्षात्मक उपकरण भी बनाती है। उनके अपने बेंचमार्क किमी को सॉफ्टवेयर और नेटवर्क में कमजोरियों को खोजने में अत्यधिक रेट करते हैं, और Hugging Face ने OpenAI घटना के दौरान खुद का बचाव करने के लिए एक अज्ञात चीनी मॉडल का उपयोग किया।

जुलाई में जारी, किमी K3 अब तक का सबसे बड़ा ओपन-सोर्स मॉडल है और इसने DeepSeek की शुरुआत की तुलना में बाजारों को हिला दिया।