Ghi chép từ Việt Nam về pháp luật, công nghệ, ngôn ngữ, lịch sử, văn hóa và du lịch.

Moonshot ra Kimi K3.1 Pro: chủ động loại dữ liệu an ninh mạng trước khi công bố trọng số mở

Các bản phát hành model open-weight (công bố trọng số mở) thường chỉ đua nhau ở một điểm: tiến sát các model đóng hàng đầu đến đâu. Kimi K3.1 Pro của Moonshot AI, ra mắt ngày 23/10/2026 (tức 24/10 theo giờ châu Á), cũng đi theo hướng đó, nhưng kèm thêm một việc hiếm thấy. Trong blog kỹ thuật, Moonshot cho biết họ đã chủ động loại bỏ dữ liệu huấn luyện liên quan đến an ninh mạng để năng lực viết mã khai thác lỗ hổng của model không vượt mức dẫn đầu trước khi trọng số được công khai. Nói cách khác, công ty tự nguyện hy sinh một phần năng lực và công bố luôn số liệu cho thấy phần bị cắt đi lớn đến đâu.

Moonshot đã phát hành những gì

Theo thông báo của Moonshot cùng các bài của SiliconANGLE, Unite.AI và hãng tin ANI:

  • Hai phiên bản: K3.1 Pro và K3.1 Pro Highspeed. Theo Moonshot, bản Highspeed có năng lực y hệt nhưng nhanh gấp 2–3 lần. Hiện chưa có số đo độ trễ độc lập nào.
  • Cửa sổ ngữ cảnh: 1 triệu token. Trong Kimi Code, chỉ các gói cao mới dùng được trọn 1 triệu token.
  • Nơi sử dụng: Kimi.ai, ứng dụng Kimi, ứng dụng máy tính Kimi Work, Kimi Code (chọn bằng lệnh /model) và Kimi API với mã model kimi-k3.1-pro và kimi-k3.1-pro-highspeed.
  • Trọng số: Moonshot cam kết công bố toàn bộ trọng số “trước ngày 4/11” nhưng chưa công bố giấy phép. K3 trước đây dùng giấy phép riêng, không phải giấy phép mã nguồn mở được OSI công nhận.
  • Giá: blog của Moonshot không nêu giá. Một số trang bên thứ ba đưa tin mức 2 USD đầu vào / 10 USD đầu ra cho mỗi triệu token, rẻ hơn một phần ba so với mức 3 / 15 USD của K3. Mức giá của K3 đã được các trang tổng hợp giá xác nhận. Với K3.1 Pro, tôi chưa đối chiếu được trên trang giá chính thức của Moonshot, nên đây vẫn là con số “được đưa tin”.

Thực sự có gì mới

K3.1 Pro không phải một base model (model nền) mới. Moonshot mô tả nó là “phiên bản post-train (huấn luyện sau giai đoạn tiền huấn luyện) của Kimi K3, với lượng tính toán post-training lớn hơn đáng kể”, dùng học tăng cường (RL) trên “hàng trăm lĩnh vực ứng dụng”. Mỗi báo đưa một con số tham số khác nhau. Bản thân Moonshot chỉ nói “cỡ 3T”, còn tài liệu Kimi Code ghi K3 có 2,8 nghìn tỷ tham số. Một bài phân tích cho rằng model kích hoạt khoảng 104 tỷ tham số mỗi token theo kiến trúc mixture-of-experts thưa (chỉ một phần nhỏ “chuyên gia” chạy cho mỗi token), nhưng Moonshot chưa xác nhận con số này.

Vì vậy, đây là phép thử xem chỉ riêng việc đổ thêm tài nguyên vào post-training còn mang lại được bao nhiêu. Các số liệu Moonshot công bố:

  • Terminal-Bench 4.0: 65,7%, so với 66,4% của Claude Opus 5.5 và 58,2% của GPT-6 Astra. Moonshot chạy K3.1 Pro trong harness (bộ khung chạy agent) Claude Code, còn điểm của đối thủ lấy từ báo cáo của chính các hãng đó.
  • Kimi Code Bench 3.0 (tác vụ dài hơi): 61,2%, tăng từ 55,95% của K3. Đây là benchmark nội bộ.
  • BenchCAD (dựng mô hình 3D bằng code, có dùng công cụ): 92,7%, xếp sau Opus 5.5 (96,2%) và GPT-6 Astra (95,9%). Một số bài báo bỏ mất chi tiết “có dùng công cụ” và cả thứ hạng này.
  • Ảo giác (hallucination): trên bài kiểm tra nội bộ “Hallu Bench Hard”, tỷ lệ phát biểu sai khi có công cụ giảm từ 23,4% (K3) xuống 8,3%. Kết quả này tốt hơn Opus 5.5 (15,0) nhưng vẫn kém GPT-6 Astra (5,5). Moonshot cũng nói rõ các số liệu stress-test này “không phản ánh tỷ lệ lỗi tổng thể khi dùng hằng ngày”.

Con số độc lập duy nhất đến lúc này là Artificial Analysis Intelligence Index: theo các bài báo, K3.1 Pro đạt 55 điểm, cao hơn K3 11 điểm và thấp hơn Opus 5.5 3 điểm.

Tài liệu Kimi Code có hai chi tiết thực tế mà lập trình viên nên biết. Thứ nhất, K3.1 Pro chỉ chạy ở chế độ thinking (suy luận): request tắt thinking sẽ bị từ chối với mã HTTP 400. Thứ hai, gõ sai mã model thì hệ thống lặng lẽ chuyển sang K2.8 Preview không có thinking. Nếu pipeline đánh giá có lỗi chính tả, bạn có thể đang benchmark nhầm model mà không nhận được lỗi nào.

Quyết định cắt bớt năng lực an ninh mạng

Đây là phần đáng đọc kỹ nhất. Moonshot viết rằng khi post-training được mở rộng, năng lực nghiên cứu lỗ hổng của model “tăng đều đặn”. Nguyên nhân không phải chủ đích: nội dung an ninh mạng nằm lẫn trong kho dữ liệu mid-training (giai đoạn huấn luyện giữa) thông thường, và các tác vụ an ninh mạng có sẵn trong tập môi trường RL, “một hệ quả tự nhiên của việc huấn luyện trên dữ liệu rộng”. Theo các thí nghiệm sơ bộ của công ty, nếu không can thiệp, năng lực tấn công mạng “sẽ tăng đáng kể”.

Vì vậy, với bản phát hành trọng số mở, Moonshot cho biết họ đã “xác định và loại bỏ dữ liệu liên quan đến an ninh mạng ở cả hai giai đoạn huấn luyện”, trong khi vẫn giữ các tác vụ lập trình phổ thông. Trên benchmark nội bộ xdev-bench-hard (các bài khai thác mã nguồn do chuyên gia biên soạn, chấm theo pass@3), một checkpoint không áp dụng biện pháp này đạt 90,5%, còn model phát hành đạt 81,0%. Cùng biểu đồ đó, K3 chỉ đạt 33,3%. Như vậy, kể cả sau khi đã cắt bớt, K3.1 Pro vẫn khai thác lỗ hổng giỏi hơn đời trước rất nhiều.

Moonshot gọi đây là một chính sách với hai nguyên tắc. Một là không công bố trọng số mở nếu chúng “đẩy xa giới hạn tuyệt đối của năng lực tấn công mạng”. Hai là “nâng dần” năng lực an ninh mạng có sẵn trong các model mở theo thời gian, để bên phòng thủ có thể tự rà soát những hệ thống cũ chưa bao giờ được kiểm tra bảo mật riêng. Công ty khẳng định năng lực an ninh mạng của K3.1 Pro vẫn kém các model độc quyền hàng đầu đã ra mắt ít nhất ba tháng.

Vì sao điều này quan trọng

Cho đến nay, an toàn cho model mở chủ yếu dựa vào việc dạy model từ chối các yêu cầu nguy hiểm, và lớp này có thể bị fine-tune (tinh chỉnh) gỡ bỏ chỉ vài giờ sau khi phát hành. Lọc dữ liệu ngay từ trước khi huấn luyện khó đảo ngược hơn nhiều, vì model chưa bao giờ học trọn năng lực đó. Giới nghiên cứu an toàn AI đã cổ vũ cách làm này từ lâu, nhưng hiếm khi thấy một phòng lab hàng đầu của Trung Quốc công khai áp dụng và công bố số liệu trước/sau. Thời điểm cũng đáng chú ý: tháng này, lỗ hổng do AI tìm ra đã thành mối lo thực tế với bất kỳ ai vận hành PHP, ConnectWise hay hạ tầng tương tự.

Giá cả cũng là chuyện lớn. Nếu mức 2 / 10 USD được xác nhận, nó ngang với mức mà các bản tin liệt kê cho Gemini 4 Argon của Google và gói Sol mới nhất của OpenAI. Khi đó, một model có trọng số mở, chỉ kém Opus 5.5 chưa tới 1 điểm trên một benchmark agent chạy terminal, sẽ có giá ngang các model hàng đầu phổ thông, và từ tháng 11 còn có thêm lựa chọn tự host.

Những câu hỏi còn bỏ ngỏ

  • Gần như mọi con số đều do Moonshot tự công bố, và nhiều benchmark là của chính họ (Kimi Code Bench, Hallu Bench, xdev-bench-hard). Harness cũng không đồng nhất: Moonshot chạy model của mình trong Claude Code, còn điểm đối thủ lấy từ blog của các hãng.
  • 81% vẫn là rất cao. Mức giảm 9,5 điểm trên một benchmark khai thác nội bộ chỉ cho thấy việc lọc dữ liệu có tác dụng, chứ chưa chứng minh model đã an toàn. Lấy mốc “kém các model độc quyền ra mắt từ ba tháng trước” làm ngưỡng an toàn có hợp lý hay không là một phán đoán chính sách, không phải một phép đo.
  • Phạm vi lọc dữ liệu. Moonshot mô tả việc lọc dữ liệu trong bối cảnh bản trọng số mở, nhưng không nói rõ model chạy qua API có được lọc tương tự hay không.
  • Có fine-tune ngược lại được không? Lọc dữ liệu làm tăng chi phí khôi phục năng lực, nhưng một model cỡ 3T vốn giỏi lập trình, cộng thêm một tập dữ liệu fine-tune vừa phải, có thể lấy lại phần lớn những gì đã bị cắt. Nhiều khả năng giới nghiên cứu sẽ thử điều này chỉ vài tuần sau ngày 4/11.
  • Giấy phép và phần cứng. Chưa có giấy phép thì chưa ai lên kế hoạch dùng thương mại được. Chạy một model cỡ này cần hơn một terabyte bộ nhớ GPU, nên dù trọng số có mở, phần lớn lập trình viên vẫn sẽ dùng K3.1 Pro qua API.

Nguồn