Una evaluación conjunta de Reino Unido y Estados Unidos concluye que Kimi K3 todavía está por detrás de los modelos estadounidenses más avanzados, pero ya logró completar de forma autónoma un ataque simulado contra una pequeña red empresarial.
La carrera mundial por la inteligencia artificial ya no se mide únicamente por quién escribe mejor, programa más rápido o resuelve problemas matemáticos. Existe una competición mucho más delicada: qué modelos son capaces de ejecutar operaciones de ciberseguridad —y potencialmente ciberataques— con cada vez menos intervención humana.
Una evaluación conjunta del AI Security Institute del Reino Unido (UK AISI) y el estadounidense Center for AI Standards and Innovation (CAISI) ha sometido a pruebas al modelo Kimi K3, desarrollado por la china Moonshot AI.
El resultado contiene dos lecturas aparentemente contradictorias. Por un lado, Kimi K3 está significativamente por detrás de los modelos estadounidenses más avanzados en capacidad cibernética. Por otro, consiguió completar en uno de sus intentos una cadena de ataque autónoma contra una red empresarial simulada deliberadamente vulnerable.
Es decir, el modelo chino todavía no lidera esta carrera. Pero el nivel que ya ha alcanzado muestra hasta qué punto las capacidades ofensivas de la IA están avanzando.
Kimi K3 queda lejos de los modelos de IA estadounidenses
Kimi K3 fue lanzado el 16 de julio de 2026, con un lanzamiento de código abierto previsto posteriormente para el 27 de julio, según la evaluación publicada el 23 de julio por los organismos británico y estadounidense.
Los investigadores analizaron específicamente sus capacidades cibernéticas, comparándolas con otros modelos mediante diferentes pruebas.
La principal conclusión fue clara: Kimi K3 rindió significativamente peor que los modelos estadounidenses de vanguardia evaluados.
La diferencia apareció tanto en el desarrollo de exploits como en una prueba diseñada para comprobar si un agente podía progresar de manera autónoma a través de una red empresarial simulada.
La fotografía tecnológica resulta especialmente interesante en plena competencia entre Estados Unidos y China por el liderazgo mundial de la inteligencia artificial.
Una red empresarial de 32 pasos pone a prueba a la IA
Una de las evaluaciones más reveladoras se realizó en el entorno denominado The Last Ones (TLO).
La prueba presenta una ruta de ataque compuesta por 32 pasos.
Kimi K3 consiguió llegar, de media, hasta el paso 17. Los modelos estadounidenses con mayor capacidad cibernética alcanzaron, en cambio, una media de 28,5 pasos.
La diferencia es considerable.
Pero quedarse únicamente con esa comparación ocultaría el dato que más preocupa desde la perspectiva de la seguridad: Kimi K3 consiguió completar toda la prueba en uno de sus 10 intentos, dentro de un presupuesto máximo de 100 millones de tokens.
Los investigadores consideran que esto demuestra que Kimi K3 puede, bajo determinadas condiciones, atacar autónomamente pequeños sistemas empresariales con defensas débiles y vulnerabilidades conocidas cuando recibe la orden y dispone de acceso inicial a la red.
Eso no significa que pueda irrumpir de forma automática en cualquier compañía real.
Por qué el experimento no equivale a un ataque real
La propia evaluación introduce importantes limitaciones que impiden convertir el resultado en una conclusión alarmista.
The Last Ones no reproduce por completo una red empresarial del mundo real.
El escenario carece de defensores activos y de determinadas herramientas defensivas. Tampoco penaliza al modelo por ejecutar acciones que, en una organización real, podrían disparar inmediatamente las alarmas de seguridad.
Además, el entorno contiene una ruta de ataque diseñada intencionadamente para poder completarse.
Por tanto, afirmar que Kimi K3 puede comprometer autónomamente cualquier empresa sería incorrecto.
La conclusión respaldada por la evaluación es más específica: en un entorno vulnerable, simplificado y preparado para el experimento, el modelo consiguió completar autónomamente la cadena ofensiva en 1 de 10 intentos.
La cuestión es qué ocurrirá cuando esa tasa de éxito aumente.
Los mejores modelos ya completan la prueba con mucha más frecuencia
Aquí aparece probablemente el dato más importante de toda la investigación.
Kimi K3 no es el primer modelo capaz de completar TLO.
Según los evaluadores, cuatro modelos públicos de ponderación cerrada ya habían resuelto anteriormente el escenario, mientras que los sistemas más capaces alcanzaron tasas de éxito de 6 de 10 y 7 de 10 intentos.
Kimi K3 quedó muy lejos, con 1 de 10.
Esto desplaza parcialmente el foco de China hacia el estado general de la tecnología: los sistemas de IA más avanzados ya pueden resolver de manera repetida determinados escenarios ofensivos diseñados para evaluar capacidades cibernéticas.
No implica intención propia ni una «rebelión» de las máquinas. Los modelos ejecutan objetivos dentro de entornos y permisos establecidos por humanos.
Pero sí demuestra que la automatización de tareas que anteriormente exigían especialistas en seguridad está progresando.
Kimi K3 supera al GLM-5.2
Dentro de los modelos chinos evaluados, Kimi K3 sí muestra una mejora importante.
Los investigadores lo compararon con GLM-5.2, descrito en la evaluación como el modelo de ponderación abierta con mayor capacidad cibernética hasta junio de 2026.
En TLO, GLM-5.2 alcanzó de media el paso 11, frente al 17 de Kimi K3 bajo el mismo límite de 100 millones de tokens.
La ventaja volvió a aparecer en ExploitBench, otra de las evaluaciones utilizadas.
Kimi K3 alcanzó una puntuación del 32 %, frente al 24 % de GLM-5.2.
El salto muestra que, aunque los modelos chinos evaluados todavía se encuentran por detrás de los principales sistemas estadounidenses en estas pruebas, la distancia tecnológica no implica estancamiento.
ExploitBench: la prueba para saber si una IA puede crear exploits
ExploitBench es una herramienta pública desarrollada por la Universidad Carnegie Mellon para medir hasta dónde puede avanzar un modelo en el proceso de explotación de vulnerabilidades de software.
La prueba incluye 41 vulnerabilidades posteriores a 2023 relacionadas con V8, el motor JavaScript y WebAssembly utilizado por Chrome.
No se limita a comprobar si una IA identifica un fallo.
Evalúa diferentes etapas del proceso, desde reproducir vulnerabilidades y conseguir capacidades de lectura o escritura hasta alterar el flujo de ejecución y, en el escenario más grave, alcanzar ejecución arbitraria de código.
Esta última capacidad es especialmente importante porque permitiría a un atacante ejecutar instrucciones sobre el sistema objetivo.
Kimi K3 no consiguió ejecución arbitraria de código
En este punto apareció una diferencia contundente.
Kimi K3 no consiguió desarrollar ningún exploit que alcanzara ejecución arbitraria de código en las 41 pruebas de ExploitBench.
Su resultado fue 0 de 41.
Los modelos con mayores capacidades cibernéticas alcanzaron ese nivel, de media, en 20 de las 41 muestras, según los resultados de UK AISI y CAISI.
La distancia entre ambos resultados muestra que todavía existen diferencias importantes entre los modelos.
También obliga a interpretar correctamente el porcentaje general del 32 % obtenido por Kimi K3: ser competente en determinadas fases de explotación no significa dominar los ataques más complejos de extremo a extremo.
Una diferencia de diez veces por cada 400 puntos
Los organismos evaluadores también agregaron distintas capacidades mediante una metodología inspirada en la Teoría de Respuesta al Ítem (TRI).
Esta metodología intenta estimar la capacidad subyacente de los modelos teniendo en cuenta la dificultad de las tareas.
La escala utilizada contiene una referencia particularmente ilustrativa: un incremento de 400 puntos representa aproximadamente multiplicar por 10 la probabilidad de resolver las tareas evaluadas.
Sin embargo, los investigadores advierten de que la estimación correspondiente a Kimi K3 presenta un intervalo de confianza más amplio.
La razón es metodológica.
Su capacidad agregada se estimó únicamente a partir de ExploitBench y sus 41 tareas, mientras que las puntuaciones de otros modelos incorporaban un número superior de pruebas procedentes de diferentes áreas de la ciberseguridad.
Por ello, la comparación debe considerarse preliminar, tal y como advierten los propios evaluadores.
Las salvaguardas de Kimi K3 tampoco bloquearon las pruebas ofensivas
Existe otro resultado especialmente relevante.
Según UK AISI y CAISI, las medidas de seguridad de Kimi K3 permitieron asistencia relacionada con el desarrollo de ciberataques y no impidieron que el modelo intentara desarrollar exploits o ejecutar operaciones ofensivas durante las evaluaciones.
Este punto necesita también contexto.
Los modelos estadounidenses de ponderación cerrada utilizados para las comparaciones fueron evaluados con sus salvaguardas de sistema desactivadas, precisamente para evitar rechazos y poder medir su capacidad máxima.
Las versiones que reciben normalmente los usuarios mantienen activadas esas protecciones.
Por tanto, estas pruebas pretenden fundamentalmente responder a una pregunta de capacidad: qué podría conseguir técnicamente el modelo cuando las barreras no interfieren, y no necesariamente cómo respondería el producto comercial ante un usuario corriente.
La ciberseguridad se convierte en otro frente entre China y Estados Unidos
Los resultados introducen la ciberseguridad en la creciente competición tecnológica entre Estados Unidos y China.
Kimi K3 muestra avances respecto a GLM-5.2, pero los resultados preliminares de AISI y CAISI mantienen a los modelos estadounidenses más avanzados claramente por delante en las tareas evaluadas.
Paradójicamente, esa ventaja también plantea una cuestión incómoda para Occidente.
Cuanto mejores sean los modelos occidentales en ciberseguridad, mayor será también la necesidad de controlar su utilización ofensiva.
La misma capacidad que permite encontrar una vulnerabilidad antes que un delincuente puede utilizarse para buscar objetivos vulnerables. La misma IA que ayuda a un equipo de seguridad a analizar millones de líneas de código puede reducir el tiempo y el conocimiento necesarios para intentar explotarlas.
La tecnología es de doble uso.
Los agentes de IA cambian el equilibrio de la ciberseguridad
La evaluación de Kimi K3 llega precisamente cuando los agentes autónomos de inteligencia artificial están provocando una revisión profunda de los modelos tradicionales de seguridad digital.
Como ya han mostrado diferentes evaluaciones de sistemas avanzados, el cambio no consiste simplemente en que una IA pueda escribir código.
El verdadero salto aparece cuando puede recibir un objetivo, planificar una secuencia, utilizar herramientas, comprobar resultados, corregir errores y continuar trabajando de manera autónoma.
Ahí comienza un escenario distinto.
Las empresas y gobiernos tendrán que evaluar no solo cuánto sabe un modelo, sino qué herramientas puede utilizar, qué permisos recibe, durante cuánto tiempo puede actuar y qué supervisión humana existe sobre sus decisiones.
Kimi K3 todavía está detrás, pero la tendencia preocupa
Los resultados publicados no presentan a Kimi K3 como una superarma cibernética china. De hecho, demuestran justamente lo contrario: los principales modelos estadounidenses evaluados conservan una ventaja considerable.
Kimi K3 obtuvo un 32 % en ExploitBench, no logró ejecución arbitraria de código en ninguna de las 41 vulnerabilidades y solamente completó TLO en 1 de 10 intentos.
Pero esos mismos números contienen la señal que interesa a los especialistas.
Un modelo de IA ya fue capaz de completar autónomamente una cadena ofensiva de 32 pasos dentro de un entorno empresarial simulado, aunque necesitara varios intentos y unas condiciones favorables.
Los modelos más avanzados lo hacen con una frecuencia todavía mayor.
La gran pregunta para gobiernos, laboratorios y empresas de ciberseguridad ya no es únicamente si la inteligencia artificial será capaz de automatizar partes relevantes de un ciberataque.
Las evaluaciones indican que esa automatización ya existe en escenarios controlados. El desafío ahora es determinar hasta dónde llegará y cómo impedir que esas capacidades terminen jugando a favor de los atacantes.
Chollones
Chollones
Chollones