同一天，月之暗面在HuggingFace正式开放了Kimi K3.1 Pro的全部模型权重。该模型采用混合专家架构（MoE），是原生多模态智能体模型，总参数2.8万亿，每次推理步骤激活其中1040亿，上下文窗口最高支持100万token。
与权重同步，月之暗面发出安全声明：开放之前，训练语料库和强化学习环境中的网络攻击相关数据已被清走。内部基准xdev-bench-hard的结果是，未处理检查点漏洞利用率90.5%，发布版K3.1 Pro为81.0%。路透社报道称，这一结果还没有独立机构验证过。
数字背后的真实含义
9.5个百分点的降幅，放到绝对值里看要复杂得多。同一基准上，DeepSeek-V4.1-Flash的漏洞利用成功率是85.7%，比Kimi K3.1 Pro的81.0%还高。GLM-5.3为57.1%，更早的Kimi K3只有33.3%。
安全处理之后，月之暗面这款模型的漏洞利用能力依然在DeepSeek和GLM-5.3之上。Anthropic曾用“构成重大网络攻击风险”来形容GLM-5.3的开放权重。若按同一把尺子量，K3.1 Pro所处的位置也带着风险。
漏洞利用能力如今在大模型里相当普遍，删掉某一部分数据改变不了整体局面。月之暗面主动把这个结果量化出来，摆到台面上的是整个行业共同的难题。
开放权重的结构性矛盾
训练阶段做的安全干预，落到开放权重模型上就有执行边界。1.56TB的完整权重文件一旦交出去，任何有算力的组织或个人都能在本地跑模型、改模型、做微调，使用条款对本地部署不再有约束力。
月之暗面在官方博客里承认了这层局限，同时也提到，开放权重让安全研究者可以直接翻查模型内部的缺陷，对仍在跑老旧软件的基础设施来说有审计价值。
xdev-bench-hard目前没有发布，外部研究者复现不了90.5%到81%这个结果。微调有可能把被移除的能力找回来，Moonshot技术博客没有就这一风险给出量化评估。
两种路径的分歧
Anthropic拿出的FlashProve机制走的是密码学路线，给监管机构和用户提供可验证的证明：推理请求由特定版本的模型完成，不是被换成了别的变体。这属于“可审计闭源”那条路。
月之暗面的做法是把权重全部开放，事先移除危险数据，再把干预效果量化。两条路径的分歧，说到底是对“安全由谁负责”的不同回答：FlashProve由提供商一直负责下去，K3.1 Pro则是在发布节点处理完就交给市场。
月之暗面公开了一条自我约束原则：不发布能力超过此前三个月内顶尖闭源模型水平的开放权重。
编码能力：公开基准交叉验证
K3.1 Pro在编码智能体上的表现，有几项公开基准可以对照。Terminal-Bench 4.0上K3.1 Pro拿到65.7%，Claude Opus 5.5为66.4%，GPT-6 Astra是58.2%。SWE-Marathon v1.1上，K3.1 Pro以51.7%领先Claude Opus 5.5的46.3%。DeepSWE v1.1上K3.1 Pro得75.5%，Claude Opus 5.5为74.2%，GPT-6 Astra为74.1%，三家基本咬在一起。
编码任务上，顶尖闭源模型之间的分差已经缩到个位数百分比。K3.1 Pro以开放权重的形式挤进这个区间，对下游开发者来说，看点在于成本（API定价约为K3的三分之二）、数据隐私和部署自主性。
换到Terminal-Bench Science 0.1，K3.1 Pro只拿到38.1%，Claude Opus 5.5为63.3%，GPT-6 Astra为68.1%。通用科学推理这块，K3.1 Pro跟顶尖闭源模型还有距离，而这类能力跟部分高级安全分析场景是挂得上钩的。
一个参照点，而非终点
在中国开源模型的发展里，这是第一次有实验室把“安全自律”的代价用具体数字公开量化。类似的操作，此前更多出现在西方实验室的红队报告里。
测试工具没有公开，外部复现的路径缺失，开放权重之后怎么控制也悬着没定，这些都是实打实的限制。通用编码能力与漏洞利用能力之间的迁移距离，比基准测试呈现出来的要短。删掉专项数据能减少现成的攻击能力，却挡不住从通用推理向定向危险能力再次迁移的可能。
技术上，月之暗面选了最透明的那条路，但透明并不等于安全。外部安全研究者得用同样严格的工具，对1.56TB的权重文件做独立的能力评估，把它的攻击潜力系统地测一遍。
