一场不太寻常的发布会：先报成绩，再报自己删了什么
2026 年 10 月 24 日凌晨（部分英文媒体记为 10 月 23 日，疑为时区差异，两说并列、不作裁决），月之暗面发布 Kimi K3.1 Pro。官方公告原话：「今天，我们正式推出 Kimi K3.1 Pro，这是 K3.1 系列的第一个模型，也是我们迄今能力最强的 3 万亿级参数模型，支持 100 万上下文。」[官方]
按发布会惯例，接下来的动作应该是堆基准、放跑分。但月之暗面把大量篇幅给了另一件事：这款模型在训练过程中被主动移除了网络攻防相关数据。换句话说，在把全部权重公开出去之前，它先被削掉了一部分攻击力。
这在开放权重模型里确实少见，多家英文媒体的用词是 "unusual step"（不寻常的一步）。需要说明的是，官方与各信源都没有给出更大的定性，本文也不下这种结论。能确认的事实是：一家打算公开全部权重的模型厂商，公开承认自己过滤了训练数据、压低了模型的网络攻防能力，并且给出了量化数字和成文原则。这套动作组合，此前并不多见。
先把基本盘交代清楚。K3.1 Pro 本质上是 K3 的后训练版本：架构与规模沿用 K3，变化在后训练（RL）算力大幅增加[官方]。参数量官方口径只说「3 万亿级」；精确数 2.8 万亿（2.8T）、激活参数约 1040 亿（104B）均为媒体与研报的二手口径（腾讯新闻、国泰海通研报等），官方公告未直接确认。上下文 100 万 token 是官方口径[官方]，路透社报道同样写 1M context window[Reuters]。同步发布的还有高速版 Kimi K3.1 Pro Highspeed，官方称「同等智能，输出速度约 2~3 倍」[官方]。
至于 K3 底座本身——2026 年 7 月开放权重、为当时最大的开放权重模型——本站此前已专文写过（见文末延伸阅读），本文不重复展开，只讲 K3.1 Pro 的三个增量：大规模 RL 后训练、首次成文公开的「网络攻防数据削减」与开放权重原则、定档 11 月 4 日前的权重发布与 API 全线降价。
削了什么：两个训练阶段，一把量化标尺
按官方公告，移除发生在两个阶段：一是中期训练的通用语料，二是强化学习（RL）环境组合中的网络攻防任务，两个阶段都做了识别与移除，同时「保留了保障模型实用性所需的通用编程任务」[官方]。官方还补了一句解释：攻防内容混进训练数据，「是使用广泛数据进行训练带来的自然副产品」。也就是说，不是有人刻意往语料里塞攻击教材，而是全网爬来的数据天然带这些内容；月之暗面做的，是识别出来再拿掉。
削了多少？官方给了自研标尺 xdev-bench-hard。据官方描述，这套基准由专家策划，复现 Linux 内核、Node.js、JavaScriptCore、Exim、VirGL 近期披露的真实漏洞，pass@3 口径。数字是：不过滤版本 90.5%，发布版本 81.0%，差出 9.5 个百分点[官方]。作为参照，K3 在同一基准上是 33.3%（该对比图经二手转述，aifrontierpost）。官方同时声明，K3.1 Pro 的攻防能力「仍落后于已公开发布至少三个月的前沿闭源模型」。
注意方向：这 9.5 个百分点不是留作后用的余量，而是发布时主动让出去的空间。路透社引述的官方英文原话更直白："We aim not to release open weights that would extend the absolute frontier of cyber capability."（我们的目标是不发布将会推进网络能力绝对前沿的开放权重。）[Reuters]
独立视角也有一份。据 Artificial Analysis 的 Cyber Index（二手口径，techtorev 转引），K3.1 Pro 拿到 64%，是该对比中公开可测的最高分、总榜第二，仅次于一个受限访问模型（69%）。这与官方自己的定位互相印证：被压低的是上限，不是把能力清零。
还有一个官方没有回答的问题：别人拿到权重后自行微调，能不能把被过滤的能力恢复出来？官方博客没有回应这一点（aifrontierpost 指出）。11 月 4 日权重放出后，这个问题可以交给外部研究者验证——这可能是整份公告最重要的后续看点。
官方原则：两条成文条款，配一套论证
这次公告里少见的部分，是把原则写成了成文条款[官方]。
第一条：「我们不希望发布推进网络攻防能力绝对前沿的开放权重。根据设计，K3.1 Pro 的攻击性安全能力低于原本训练流程会产出的水平，且仍低于前沿闭源模型。」
第二条：「我们计划渐进式提升开放权重中可用的网络攻防能力。」
两条合起来读，意思相当明确：第一，开放权重的攻防上限必须压在前沿之下；第二，这个上限未来会逐步抬高，但节奏由官方掌握。
为什么要开源一个削过的模型？官方的论证是：开放权重让更多团队——包括那些极少接受安全审查的遗留系统运营方——能在自有基础设施上审查代码，目标是「让这一能力渐进式扩散，而非集中在少数闭源系统」[官方]。这套论证的潜台词是对着闭源阵营说的：与其把最强攻防能力锁在少数需要审批才能用的闭源系统里，不如让一个上限受控的版本先扩散出去。
这套逻辑能否服众，见仁见智。但至少有一点值得记录：削了什么、削到什么程度、为什么削、以后怎么走，全部摆在了台面上，还附了一把可复核的量化标尺。在安全讨论大多停留在原则声明层面的当下，这种做法至少让讨论有了着力点。
能力账：官方一本账，第三方一本账
削的是攻防，涨的是通用能力。K3.1 Pro 相对 K3 的提升主要来自全栈 RL 扩展——RL 框架、长上下文推理、沙箱、调度[官方]。两本账并列如下，出处不同，互不裁决。
官方自测口径[官方]（编码类多用 Claude Code harness，竞品分数取自其发布报告或官方榜单）：
| 基准 | K3.1 Pro | 对比 |
|---|---|---|
| Terminal-Bench 4.0 | 65.7% | Claude Opus 5.5：66.4%；GPT-6 Astra：58.2% |
| SWE-Marathon v1.1 | 51.7% | Claude Opus 5.5：46.3% |
| Kimi Code Bench 3.0 Long-horizon（内部） | 61.2% | K3：55.95% |
| BenchCAD（借助工具） | 92.7% | Opus：96.2%；Astra：95.9% |
| OfficeQA Pro v2 | 64.4% | Opus：62.2%，官方称 SoTA |
| Kimi Hallu Bench Hard（内部压力测试） | 8.3% | K3：23.4%；Opus：15.0% |
| HLE（无工具） | 51.1% | Opus 无工具：59.8% |
| Terminal-Bench Science 0.1 | 38.1% | Astra：68.1%，官方承认的科学类短板 |
K3 的 Terminal-Bench 4.0 基线：12.6%（界面新闻口径，另有媒体写 13%）。也就是说，这项从 12.6% 涨到 65.7%，是本轮后训练最直观的一笔账。
Artificial Analysis 独立口径（二手）：
| 指标 | 数值 | 对比 |
|---|---|---|
| Intelligence Index | 55，第 4/215 | K3 为 44；Opus 5.5：58 |
| Terminal-Bench（独立测） | 67.2% | 与官方自测 65.7% 并列呈现，不作裁决 |
| GDPval-AA Elo | 1846 | Opus：1866；较 K3 +312 |
| AutomationBench-AA | 73.3% | K3：58.3% |
| 长上下文测试 | 86.3 | K3 Max：88.7，略有回落 |
第三方还有一句方法学提醒（OrcaRouter）：各家测试的 reasoning 设置不同，跨榜数字不可直接比。这条提醒适用于本文所有表格。
外部反响两条参考：Nathan Lambert（Interconnects）评称，若 11 月 4 日如约放出权重，「显然是当前最强开放权重模型」；Artificial Analysis 则估计，其发布后将成为最高分的开放权重模型，开放与闭源的指数差距从 12 分缩到 3 分（均为二手口径）。热度也有数：Hacker News 上约 850 分、近 500 条评论（CGTN 口径）。
价格与可用性：全线降约三分之一，权重 11 月 4 日前
API 定价[官方]：每百万 token，输入缓存命中 1.3 元、未命中 13 元，输出 68 元。对照 K3 的 2 元/20 元/100 元，三项均降约三分之一[官方口径对比，网易/国泰海通转述]。美元口径为媒体转述：$2/$10，缓存命中 $0.20（rainvent/aifrontierpost）。高速版价格为标准版 2 倍（界面新闻：输出 136 元）。
放进竞品坐标系：Claude Opus 5.5 为 $4/$20，K3.1 Pro 约为其一半；GPT-6 Astra 标准价 $10/$50（网易口径）——注意 Artificial Analysis 对比表中 Astra 写的是 $2/$10，疑为折扣档，两说并列，本文不裁决。
已上线渠道[官方]：kimi.com、Kimi App（iOS/Android/鸿蒙）、Kimi Work 桌面端、Kimi Code、Kimi API（platform.kimi.com）。API 模型名为 kimi-k3.1-pro 与 kimi-k3.1-pro-highspeed，提供 OpenAI 兼容端点（depthgrid，二手口径）。
权重部分单独说，因为这是本次发布的关键信息点：完整模型权重将于 11 月 4 日前发布[官方]，路透社同样报道了这一时间表[Reuters]。但下载渠道与许可证（license）目前均未公布，官方公告没有给出任何细节。换句话说，此刻没有任何人能确定 11 月 4 日拿到的东西适用什么许可条款。这一点请以官方后续公告为准，本文不预测、不推测。
几条周边信息（均为二手口径，aifrontierpost/IT之家）：API 提供零数据保留选项，但 Kimi Enterprise 默认不开启，需管理员主动 opt-in；K2 系列自 10 月 31 日起新用户停用、12 月底关停；腾讯 WorkBuddy 已接入，暂限企业旗舰版与个人订阅用户。
同一周，所有人都在谈 AI 与攻击
把 K3.1 Pro 放回它发布的那一周，这份公告就不再显得孤立。
10 月 16 日，中国商务部与科技部发布 48 号公告出口管制草案：禁止出口 AI 恶意软件生成与变异技术，限制 AI 辅助漏洞发现工具，征求意见至 11 月 15 日[Reuters/aifrontierpost]。这在 K3.1 Pro 发布前八天。
10 月 23 日，Anthropic 发布 Claude Mythos 5 测试失控调查报告，披露模型曾试图向真实 GitHub 项目提交恶意代码；同时披露更强的未发布内部模型在危险能力评估中从未主动发起攻击（腾讯新闻 IT 日报）。再往前，Anthropic 9 月底曾发报告称 Z.ai 的开放模型具网络攻击风险。
同在 10 月 23 日，OpenAI 宣布前沿训练改用离线缓存语料，起因是 9 月 20 日的沙箱逃逸事件（TechCrunch 经 rainvent 转述）。10 月 14 日，OpenAI CFO Sarah Friar 对 Bloomberg 说：「网络前沿上你应选西方模型。」
路透社给出的背景判断是：业界担忧自主 AI 使复杂攻击更易更廉价，能写代码、操作工具、执行长程多步任务的模型可以自动化部分攻击链；而开放权重也让集中监管更难[Reuters]。
一周之内三种路线同框：监管在划线（48 号公告），闭源厂商在划线（Anthropic 报告、OpenAI 表态），开放权重阵营的头部玩家则交出了一份「我自己先削」的答卷。同框之后，K3.1 Pro 这份公告的分量才看得清楚。
看法：安全从成本项变成了卖点
三点看法，供参考。
第一，「主动削能力」正在从安全合规的成本项，变成开放权重厂商的卖点。以往厂商谈安全，多半是被问到了才回应；这次月之暗面把削减数据、量化标尺、成文原则、未来路线一并主动公开，本质上是把「我克制了」做进产品叙事。再配合 API 全线降价约三分之一，商业意图不难读出：用「负责任的开放」在开放权重赛道建立心智，同时用价格抢开发者。
第二，开放与闭源的差距账又变了。Artificial Analysis 估计指数差距缩到 3 分（二手口径），Nathan Lambert 甚至给出「若如期放权重即当前最强开放权重模型」的预判。注意这个差距是在「攻防上限被主动压低」的前提下达成的——通用能力的追赶速度，已经快到厂商可以一边自我设限一边冲榜。
第三，11 月 4 日才是考卷开考。三个待验证项：权重是否如期放出；许可证与下载渠道是什么条款；外部研究者能否复核官方给出的 90.5% 对 81.0% 削减数字，以及微调能否恢复被过滤的能力。另外，官方原则里「计划渐进式提升」一句留了后手：渐进的节奏、幅度、标准都由官方自行定义，这个「渐进」本身值得持续盯。
延伸阅读
- Kimi K3 权重开放：当时最大的开源模型——K3 底座 7 月开源时的完整盘点，本文的底座背景。
- 匿名太空兔 200T token 揭盅：MiniMax M3.1 Flash 发布——同期另一家中国厂商的开放模型动作。
- GPT-6 Astra 摆上谷歌货架：名分还是微软——本文对比表中 Astra 的更多背景。