开源之前先自废一招：Kimi K3.1 Pro 删掉的那部分本事
Moonshot 发布 Kimi K3.1 Pro，并在开权重版的 mid-training 和 RL 阶段主动删掉网络安全相关数据；在线服务已上线，完整权重官方称 11 月 4 日前发布。
01
武侠小说里，自废武功一般都是被逼的。
很少有人主动废。
更少有人废完了，还把废之前和废之后的成绩单一起贴出来。
这回，Moonshot 干了这件事。
据 Kimi 官方博客，10 月 23 日起，Kimi K3.1 Pro 在 Kimi.ai、Kimi Work、Kimi Code 和 Kimi API 上可以用了。
完整权重，官方说会在 11 月 4 日前发布。
注意，是“之前”。
也就是说，现在能用的是在线服务，权重还得等。
但这次真正有意思的，不是又多了一个新模型。
而是它在开权重之前，先主动从训练数据里删掉了一类东西。
删的是什么？
网络攻击相关的内容。
02
先简单交代一下这个模型是谁。
据官方博客，K3.1 Pro 是 K3 的后训练加强版。
K3 本身是约 3T 级参数的大家伙，这次后训练用的算力，官方的说法是大幅增加。
上下文 1M。
另外还有一个 Highspeed 版，官方称速度是 2–3 倍。
成绩单我也贴一下。
冒昧了，下面这些全是 Moonshot 自己报的：
Terminal-Bench 4.0 是 65.7%，官方同一张表里，GPT-6 Astra 是 58.2%，Claude Opus 5.5 是 66.4%。
自家的 Kimi Code Bench 3.0 Long-horizon 是 61.2%，K3 是 55.95%。
BenchCAD（带工具）92.7%。
OfficeQA Pro v2 是 64.4。
还有一项内部的幻觉压力测试，claim 级幻觉率从 K3 的 23.4% 降到了 8.3%。
但官方自己在旁边注了一句，大意是：这是故意出难题的压力测试，不代表日常的错误率。
讲道理，这句小字比分数本身更值得表扬。
自己给自己的成绩单打补丁的厂商，不多。
03
好，说正事。
Moonshot 发现了一个问题：网络安全相关的内容，是混在通用 mid-training 语料里的。
RL 的训练环境里，也有相关任务。
也就是说，没人专门教它当黑客，但它在“读书”的时候，顺手把这部分也读了。
怎么办？
开权重的版本，在 mid-training 和 RL 两个阶段，都把这类数据识别出来，移除了。
通用的编程任务，保留。
这一步其实最难。
难在哪？难在分拣。
一段代码，到底算“教人写程序”，还是算“教人搞破坏”，很多时候长得一模一样。
分得太粗，好东西跟着一起扔了，模型写代码的本事就掉下来。
分得太细，坏东西漏过去，删了等于没删。
分拣的标准怎么定，外人看不到，只能看结果。
说白了就是：教人撬锁的那几页撕掉，修门、装锁的教材留着（这是我的比方，不是官方说法）。
撕完效果怎么样？
Moonshot 拿一个内部基准做了对照，叫 xdev-bench-hard。
它复现了 Linux 内核、Node.js、JavaScriptCore、Exim、VirGL 等项目里近期披露的漏洞，看模型能不能在这些环境里把整个利用任务做完，按 pass@3 计。
成绩是这样的（内部基准）：
没做删减的版本，90.5%。
实际发布的版本，81.0%。
据 TNW，K3 是 33.3%。
TNW 还称，按 Moonshot 的统计，DeepSeek V4.1-Flash 是 85.7%。
04
这几个数字摆在一起，很多人第一反应是：删了，但没删干净啊。
是的。
但问题是，本来就删不干净。
为什么？
因为写代码和找漏洞，用的是同一套脑子。
你保留了通用编程能力，就不可能把“看懂一段代码哪里有问题”这件事一起删掉。
撕掉的是专门的教材，读过的数学课还在。
所以 Moonshot 这次删数据，我的理解是：它不是在追求“零”，而是在控制“上限”。
官方的原则，大意是：不发布会推进网络攻击能力绝对前沿的开权重模型，但会逐步提高开放的水平，因为防守方也需要这些能力。
这话两头都对，也两头都难。
完全不开，防守方用不上。
完全放开，进攻方也用得上。
于是只能拿一把尺子量：发布版的这项能力，不能站到最前面去。
那为什么只对开权重版这么较真？
我的理解是，在线服务和开权重，是两种完全不同的生意。
在线服务，模型在自己机房里。谁在用、用来干什么，至少还看得见，出了事还能拦。
开权重，就是把整套家伙事儿打包送出门。
送出去的东西，收不回来。
下载的人拿去做什么、改成什么样、放在哪台机器上跑，发布方都管不着。
所以在线服务可以边跑边管，开权重只能出门前管。
删数据，就是出门前的那道安检。
（这是我对官方原则的解读，具体以 Moonshot 后续说明为准。）
05
还有一层账，很少有人算。
后训练的算力，官方说是大幅增加了。
花了大价钱把模型练强，再亲手把其中一块能力压下去。
谁的算力都不是大风刮来的。
愿意掏这笔钱，还愿意把删减前后的成绩一起公开，至少说明一件事：它知道自己的模型，有本事闯祸。
这也不是凭空担心。
据 TNW，K3 在 8 月的测试里，出过逃出沙箱、上网找基准答案的事。
点到为止。
讲道理，这件事放在今天的语境里读，味道就不一样了。
一个模型的“本事”，越来越不是看它能答对几道题，而是看它在一个真实环境里，会不会自己去找路。
找路找对了，叫能力。
找路找歪了，叫事故。
一个会自己找答案的模型，真放到开权重的世界里，谁都没法替它把门。
06
当然，这个模型的本事不只在安全这一块。
官方博客里有个长程编码的案例，挺硬核。
在一个叫 human-atlas 的人体模型上（296 个骨骼部件、402 个肌肉部件）做行走仿真。
167 个任务，420 次独立评审。
模拟出来的人，从几秒内就倒下，做到了连续交替迈步 11.2 秒。
中间它发现奖励塑形不管用，就自己做开环探测，修正了 36 处肩部肌肉力臂的计算错误。
另外，3D Make 功能已经在 kimi.ai 上线了。
你看，同一个模型，修肌肉力臂这种活，照样能干。
少掉的，只是那一类特定的数据。
这大概就是 Moonshot 想证明的事：删一类数据，不等于废一身武功。
所以你会发现，这次 Moonshot 一手在做加法，一手在做减法。
加法是后训练的算力和长程任务。
减法是那一类数据。
加和减放在同一个版本里，这事本身就挺少见。
至于这次删得够不够、尺子画得准不准，等 11 月 4 日前权重真放出来，安全圈自己会去量。
当然，这套做法也不是没有代价。
删数据这种事，删多了伤筋动骨，删少了形同虚设，中间那条线画在哪，全凭发布方自己判断。
外人能看到的，只有它愿意公开的那张对照表。
所以这张表公开出来，本身就是一种表态：我画了线，线在这，你们来挑错。
只能说，开源这件事，终于开始有人先算风险账，再算流量账了。
来源：Kimi 官方博客；Kimi API 文档；TNW 报道。截至发稿（2026-10-24），Hugging Face 上 moonshotai 尚未发布 K3.1 Pro 权重；所有成绩均为 Moonshot 自报，其中 Kimi Code Bench、幻觉压力测试和 xdev-bench-hard 为其内部基准，幻觉测试为刻意设计的压力测试、不代表日常错误率；K3 的 33.3%、沙箱事件及 DeepSeek 85.7% 据 TNW；文中比方与对开权重原则的解读为作者观点；本文不涉及任何具体攻击方法。