はじめに
2026 年 7 月 16 日、中国の Moonshot AI が大規模言語モデル「Kimi K3」を発表しました。総パラメータ数 2.8 兆のオープンウェイトモデルとしては過去最大の規模であり、中国企業が米国の最先端モデルに迫る性能を低価格のオープンソースとして公開した事実が意識され、発表翌日の米株式市場では NVIDIA などの AI・半導体関連銘柄が売られる展開となりました。日本国内でも SNS や技術メディアで話題が続いています。
一方で、業務での利用を検討するエンジニアや情シス担当者にとって、性能の高さとは別に確認すべき観点があります。入力したデータは学習に使われるのか、データの保存先はどこか、中国の法制度の影響を受けるのか、そしてサービスやモデル自体は外部からの攻撃に対してどの程度堅牢なのか、といった点です。
- Kimi K3 の特徴、料金、提供形態
- Claude Fable 5・GPT-5.6 との第三者評価による性能比較
- データ投入時のリスク（学習利用、保存先、中国の法制度）
- 攻撃耐性・脆弱性の観点での現状評価
- 利用形態別のリスク整理と、組織ネットワークでの制御策
結論を先に述べると、Kimi K3 の性能は第三者評価でも米国のフロンティアモデルに匹敵する水準にあり、価格面の優位性も明確です。一方で、チャットサービスや API に入力したデータは学習に利用される可能性があり、学習利用を無効化する設定も確認できていません（2026 年 7 月時点）。機密情報を扱う業務での利用は、現時点では推奨できないと考えます。本記事では、その判断根拠を一次情報に基づいて整理します。
Kimi K3 とは｜2.8 兆パラメータのオープンモデル
Kimi K3 は、北京に本社を置く Moonshot AI が発表した同社最上位のモデルです。同社は Kimi K3 を「世界初のオープンな 3T（3 兆）クラスモデル」と位置づけており、長時間のコーディング、ナレッジワーク、推論を主な用途として設計しています。
参考: Kimi K3 Tech Blog: Open Frontier Intelligence（Moonshot AI）
“It is the world’s first open 3T-class model”
（世界初のオープンな 3T クラスモデルである）
https://www.kimi.com/blog/kimi-k3
発表内容と技術的な特徴
公式テックブログで公表されている主な仕様は以下のとおりです。
- 総パラメータ数 2.8 兆。MoE（Mixture of Experts）構成で、896 個のエキスパートのうち 16 個のみを活性化する「Stable LatentMoE」を採用
- 独自のアテンション機構「Kimi Delta Attention（KDA）」と「Attention Residuals」により、前モデル Kimi K2 比で約 2.5 倍のスケーリング効率を実現したと説明
- 最大 100 万トークンのコンテキストウィンドウと、画像・動画を扱えるネイティブなマルチモーダル機能
- モデルウェイトは 2026 年 7 月 27 日までに公開予定。アーキテクチャや学習の詳細は後日の技術レポートで公開予定
注目すべきは、Moonshot AI 自身が総合性能では Claude Fable 5 と GPT 5.6 Sol に及ばないと明言している点です。誇張を避けた発表姿勢は評価できる一方、公表ベンチマークの多くは同社の社内評価であり、モデルごとに実行環境（ハーネス）が異なるため、スコアの読み方には注意が必要です。第三者評価による比較は次章で扱います。
また、公式ブログの「Limitations」では、思考履歴の引き継ぎに失敗すると生成品質が不安定になること、曖昧な指示に対して想定外の判断を下す場合があること、Claude Fable 5 や GPT 5.6 Sol と比較してユーザー体験に差があることを Moonshot AI 自身が認めています。ベンダーが制約事項を明記している点は、利用可否を判断する上で参考になります。
なお、公式は推論環境として 64 基以上のアクセラレータによる構成を推奨しており、ウェイトが公開されても、個人所有の GPU でフルモデルを動かすことは現実的ではありません。オープンウェイト公開の意味とリスクについては後述します。
料金と提供形態
Kimi K3 は発表と同日から、チャットサービス（Kimi.com およびモバイルアプリ）、デスクトップアプリの Kimi Work、ターミナル向けの Kimi Code、Kimi API の 4 つの経路で利用できます。
API 料金は 100 万トークンあたり入力 3.00 ドル（キャッシュヒット時は 0.30 ドル）、出力 15.00 ドルです。米国の同等クラスのモデルと比較すると安価であり、たとえば Claude Fable 5 の出力料金は 100 万トークンあたり 50 ドルです。チャット側には無料プランと複数の有料プランが用意されています。また、法人向けには Kimi Enterprise が提供されており、公式はエンタープライズグレードのデータプライバシーを提供すると案内しています。この「一般利用と法人契約でデータの扱いが異なる可能性」は、後述するデータ投入リスクの評価に関わる重要なポイントです。
Claude Fable 5・GPT-5.6 との性能比較（第三者評価）
ベンダー公表値だけでは実力を判断しにくいため、本章では独立系評価機関 Artificial Analysis による第三者評価を中心に比較します。同社は 2026 年 7 月 17 日に Kimi K3 の分析記事を公開し、K3 を Intelligence Index で第 3 位と評価しました。
Artificial Analysis の総合スコア比較
Artificial Analysis Intelligence Index（v4.1）は、GDPval-AA v2、Terminal-Bench v2.1、GPQA Diamond など 9 種類の評価を統合した総合指標です。執筆時点の主要モデルのスコアは以下のとおりです。
| モデル | 開発元 | Intelligence Index |
|---|---|---|
| Claude Fable 5 | Anthropic | 60 |
| GPT-5.6 Sol | OpenAI | 59 |
| Kimi K3 | Moonshot AI | 57 |
| Claude Opus 4.8 | Anthropic | 56 |
| GPT-5.5 | OpenAI | 55 |
| GLM-5.2 | Z.ai | 51 |
| DeepSeek V4 Pro | DeepSeek | 44 |
Kimi K3 のスコア 57 は、Claude Fable 5 と GPT-5.6 Sol には届かないものの、Claude Opus 4.8 や GPT-5.5 と同水準です。少し前までフロンティア級とされていたモデル群に、オープンウェイト公開予定のモデルが並んだことになります。
参考: Kimi K3 achieves #3 in the Artificial Analysis Intelligence Index（Artificial Analysis）
“Its intelligence is comparable to Opus 4.8 and GPT-5.5”
（その知能は Opus 4.8 および GPT-5.5 に匹敵する）
https://artificialanalysis.ai/articles/kimi-k3-achieves-3-in-the-artificial-analysis-intelligence-index-comparable-to-opus-4-8-and-gpt-5-5
なお、比較対象の最上位である Claude Fable 5 は、米政府のディレクティブをめぐり利用可否の状況が変動しています。経緯の詳細は関連記事『Claude Fable 5 はなぜ使えない』を参照してください。
エージェント系ベンチマークとコストの比較
実務タスクに近い評価では、Kimi K3 の強みがより明確です。実世界の業務タスクを評価する GDPval-AA v2 では、K3 は Elo レーティング 1668 を記録し、Claude Opus 4.8（1600）と GPT-5.5（1494）を上回りました。首位は Claude Fable 5（1760）です。前モデル Kimi K2.6 の 1190 からの伸び幅は大きく、長期間のナレッジワークを評価する AA-Briefcase でも Fable 5 に次ぐ第 2 位につけています。
コスト面では、Intelligence Index のタスク 1 件あたりの平均コストが K3 は 0.94 ドルで、GPT-5.6 Sol（1.04 ドル）と同水準、Claude Opus 4.8（1.80 ドル）の約半分です。同等の知能水準を約半分のコストで利用できる計算になり、性能とコストのバランスは現時点で有力な水準といえます。
一方で、注意すべき評価結果もあります。知識の信頼性を測る AA-Omniscience では、正答率が K2.6 の 33% から 46% に向上した反面、ハルシネーション率は 39% から 51% に悪化しています。わからない場合に推測で答える傾向が強まっていることを示唆する結果であり、ファクトチェックを省略できる段階にはありません。ベンチマークの上位スコアだけを見て導入判断をしないことが重要です。
データ投入リスク｜入力情報は学習に使われるのか
性能面の評価とは別に、業務利用の可否を左右するのがデータの取り扱いです。本章では Moonshot AI のプライバシーポリシーと公式ヘルプの原文を確認した結果を整理します。重要な結論として、チャット版と API でデータの扱いに関する公式の記載が異なります。
チャット版: 入力内容は学習に利用され、オプトアウト設定がない
Kimi.com およびアプリ向けのプライバシーポリシー（最終更新 2025 年 7 月 7 日）では、ユーザーが入力するプロンプト、音声、画像、動画、ファイルなどの「User Content」について、サービスの提供・改善のために処理されることが明記されており、そこにはモデルのトレーニングが含まれます。
参考: Privacy Policy（Kimi / Moonshot AI PTE. LTD.）
“including training and optimizing our models”
（当社モデルのトレーニングと最適化を含む）
https://www.kimi.com/user/agreement/userPrivacy?version=v2
ChatGPT や Claude が提供しているような学習利用を無効化する設定（オプトアウト）は、ポリシー内に記載がなく、2026 年 7 月時点で製品内にも確認されていません。また、自動収集される情報として IP アドレスやデバイス識別子に加えて、クリップボードデータ（端末設定で許可されている場合）が収集対象に含まれる点は、業務端末での利用を検討する際に見落とせない記載です。
API: 学習に利用しないと明記
一方、API 経由のデータについては、公式ヘルプセンターに学習利用を明確に否定する記載があります。
参考: Data processing & security（Kimi Help Center）
“not used to train or improve Kimi’s models”
（Kimi のモデルのトレーニングや改善には使用されない）
https://www.kimi.com/help/kimi-api/api-data-security
同ページでは、API データは当該リクエストの処理のみに使用され、学習目的で永続保存されないこと、通信の TLS 暗号化やユーザー間のデータ分離などの対策も説明されています。つまり「Kimi にデータを入れると学習される」と一括りにするのは正確ではなく、利用経路によってリスクの程度が異なります。ただし、ヘルプページはポリシー文書そのものではないため、契約上の位置づけを重視する場合は利用規約と合わせた確認を推奨します。
データ保存先と中国の法制度
サービスの提供主体は、ポリシー上は Moonshot AI PTE. LTD.（シンガポール法人）です。API プラットフォーム側のプライバシーポリシーにはデータをシンガポールのサーバーに保存する旨の記載がある一方、チャット版のポリシーには保存先の国名の明記がなく、居住国外のサーバーへ転送・保存される可能性があるという記載に留まります。一部メディアには中国国内サーバーへの保存に言及するものもありますが、公式ポリシーの記載からは確認できませんでした。
考慮すべきは法制度の観点です。Moonshot AI の本体は北京に拠点を置く中国企業であり、中国には組織や個人に国の情報活動への協力を義務づける国家情報法（2017 年施行）があります。シンガポール法人経由のサービスに同法の影響がどこまで及ぶかについては確立した見解がなく、この不確実性自体が、機密データを扱う組織にとってのリスク要因となります。
DeepSeek の前例: 各国政府の利用制限措置
この論点には前例があります。2025 年初めに中国の DeepSeek が注目を集めた際、イタリアのデータ保護当局によるアプリ配信停止、オーストラリア・台湾・韓国などにおける政府端末や公共部門での利用制限といった措置が相次ぎました。理由はモデルの性能ではなく、データの保存先と取り扱いの不透明さでした。Kimi K3 についても、機密度の高いデータを扱う組織では同様の観点からの評価が求められると考えられます。
攻撃耐性・脆弱性の観点｜外部攻撃から守られるのか
データの取り扱いと並ぶもう 1 つの評価軸が、モデルとサービス自体の堅牢性です。結論から述べると、Kimi K3 固有の CVE や確立した攻撃事例は執筆時点で確認できていない一方、モデルの安全性評価には弱点を示唆する結果があり、オープンウェイト公開後はガードレールの実効性が大きく変わる可能性があります。
ジェイルブレイク報告と第三者安全評価の現状
公開直後から、SNS 上ではペルソナ設定や文脈のすり替えによって Kimi K3 に有害なコンテンツを出力させたとする報告が複数共有されています。ただし、単発のスクリーンショットや個別のプロンプト例だけでは、どのエンドポイント・システムプロンプト・設定で再現するのかが検証できず、「完全に突破された」と結論づけることはできません。この種の主張は再現条件が示されているかどうかで信頼性を判断する必要があります。
より参考になるのは、体系的な第三者評価です。Kimi K3 自体の独立した安全性評価は執筆時点で公開されていませんが、前世代の Kimi K2.5 に対しては 2026 年 4 月に独立評価の論文が公開されており、悪用目的のプロンプトへの耐性に関して次の指摘があります。
参考: An Independent Safety Evaluation of Kimi K2.5（arXiv）
“less robust to harmful-use prompting compared to other frontier closed models”
（他のフロンティア級クローズドモデルと比較して、悪用プロンプトに対する堅牢性が低い）
https://arxiv.org/abs/2604.03121
同論文では、単純な敵対的フレーミングでリスクの高い応答を生成しやすいこと、エージェント設定でもこの弱さが持続することが報告されています。一方で、別の評価（ForesightSafety Bench）では K2.5 のジェイルブレイク成功率が低水準に留まったという結果もあり、評価結果はベンチマークの設計に依存して一貫していません。K3 の実際の耐性は、今後の第三者評価を待って判断すべき段階です。
オープンウェイト公開が意味すること
2026 年 7 月 27 日までに予定されているモデルウェイトの公開は、攻撃耐性の観点で状況を大きく変えます。一般に、ウェイトが公開されたモデルは、ファインチューニングによって安全性のためのガードレールを除去した派生モデルを作成できるため、API 側でどれだけ堅牢なフィルタを実装しても、その制約が及ばない利用経路が生まれます。フロンティア級のコーディング能力を持つモデルのウェイト公開がサイバー攻撃能力の拡散につながるのではないかという懸念は、研究者からも指摘されています。K3 のサイバー攻撃能力に関する公的な評価結果は執筆時点で公表されておらず、この点も今後の評価機関の分析を待つ必要があります。
一方、防御側の視点では、ウェイト公開は自社環境でのホスティングによるデータ主権の確保という選択肢をもたらします。この両面性については次章の利用形態別リスク評価で整理します。
K3 固有の CVE は現時点で未確認、ただしモデル以外のリスクに注意
執筆時点で、Kimi K3 のモデルや提供サービスに割り当てられた CVE、および公的機関による注意喚起は確認できませんでした。ただし、これは安全性の証明ではなく、公開から日が浅く評価が追いついていない段階と解釈すべきです。
また、AI サービスのセキュリティインシデントは、モデル自体よりも周辺インフラの不備に起因した前例があります。2025 年 1 月、Wiz Research は DeepSeek の ClickHouse データベースが認証なしでインターネットに公開されていたことを発見し、100 万行を超えるログが露出していたと報告しました。
参考: Wiz Research Uncovers Exposed DeepSeek Database（Wiz Blog）
“chat history, secret keys, backend details, and other highly sensitive information”
（チャット履歴、シークレットキー、バックエンドの詳細、その他の機密性の高い情報）
https://www.wiz.io/blog/wiz-research-uncovers-exposed-deepseek-database-leak
急成長する AI サービスでは、モデルの安全性以前に、基本的なインフラ運用の不備が直近のリスクとなり得ることを示した事例です。Kimi のインフラで同種の問題が確認されたわけではありませんが、「入力したデータが学習に使われるか」だけでなく「サービス側で安全に保管・運用されるか」も独立した評価軸であることは、この前例から読み取れる教訓です。
利用形態別のリスク評価と組織での制御策
ここまでの整理を踏まえると、「Kimi K3 は安全か」という問いには、利用形態を分けずに答えることはできません。本章では 3 つの利用形態ごとにリスクを整理し、組織側でとれる制御策をまとめます。
チャット・API・自社ホストの 3 形態でリスクが変わる
| 観点 | チャット（Kimi.com・アプリ） | API | 自社ホスト（ウェイト公開後） |
|---|---|---|---|
| 学習利用 | あり（ポリシーに明記、オプトアウトなし） | なしと公式ヘルプに明記 | なし（外部送信自体が発生しない） |
| データ保存先 | 明記なし（国外転送の可能性を記載） | シンガポールと記載 | 自社管理 |
| 法制度の不確実性 | あり | あり | 低い |
| 主なリスク | 入力情報の学習利用、収集範囲の広さ | 規約間の整合性、サービス側インフラ | 運用負荷、ガードレールの実効性、推論基盤のコスト |
| 機密データの扱い | 推奨できない | 契約条件の精査が前提 | 設計次第で対応可能 |
自社ホストは外部送信リスクを構造的に解消できる唯一の形態ですが、公式が推奨する 64 基以上のアクセラレータ構成が示すとおり、フルモデルの運用には相応の基盤投資が必要です。また、前述のとおりガードレールの堅牢性はクローズドモデルと同水準とは限らず、社内利用であっても出力の検証プロセスは省略できません。
組織ネットワークでのシャドー AI 対策
読者の多くにとって現実的な課題は、自分が使うかどうかよりも、組織内で従業員が無許可で利用する「シャドー AI」を可視化・制御できるかという点だと考えられます。話題性の高いサービスほど、ガイドライン整備より先に現場利用が始まる傾向があるためです。対策は「可視化 → ポリシー明文化 → 技術的制御」の順で進めることを推奨します。
FortiGate では、FortiGuard のアプリケーションコントロールに Generative AI カテゴリが用意されており、生成 AI サービスへのアクセスをカテゴリ単位で監視またはブロックできます。FortiView の AI Applications ウィジェットによる利用状況の可視化にも対応しています。
参考: Protecting GenAI access using application control（Fortinet Document Library）
“monitor and manage AI-related activities, such as ChatGPT usage”
（ChatGPT の利用など、AI 関連のアクティビティを監視・管理できる）
https://docs.fortinet.com/document/fortigate/7.6.5/administration-guide/679448/protecting-genai-access-using-application-control
運用上の注意点として、公式ドキュメントでは一部のシグネチャの検知に SSL ディープインスペクションが前提となること、シグネチャデータベースの更新に FortiGuard の契約が必要なことが説明されています。また、Kimi が Generative AI カテゴリのシグネチャに含まれているかは、お使いの環境の Security Profiles > Application Signatures で最新のシグネチャ一覧を確認してください（新興サービスは追加までにタイムラグが生じる場合があります）。シグネチャで検知できない場合の補完として、Web フィルタリングによるドメイン単位の制御も選択肢になります。なお、制御を入れる前提として、ゲートウェイ自体の設定が適切に堅牢化されていることが重要です。基本設定の確認手順は関連記事『FortiGate ハードニングの優先度と確認手順』を参照してください。
リモートワーク環境の端末は社内ゲートウェイを経由しないため、境界型の制御だけではカバーできません。場所を問わず一貫したポリシーを適用するには SASE の枠組みが選択肢となります。構成要素の整理は関連記事『SASE とは』を参照してください。
技術的制御とあわせて、AI 利用ガイドライン上での位置づけ（許可・条件付き許可・禁止）を明文化し周知することが、発表直後の現時点で組織がとれる最初の対応となります。
まとめ
Kimi K3 は、第三者評価でも米国のフロンティアモデルに迫る性能と明確な価格優位性を示した一方、データの取り扱いは利用形態によって大きく異なります。性能の話題性だけで判断せず、自組織のデータ機密度と利用経路を踏まえた評価が必要です。
- Kimi K3 は第三者評価で第 3 位、Opus 4.8・GPT-5.5 と同水準の性能
- タスクあたりコストは Opus 4.8 の約半分で、価格競争力が高い水準にある。
- チャット版は入力内容がモデルの学習に利用され、オプトアウト設定がない。
- API は学習利用なしと公式ヘルプに明記、ただし契約条件の精査が前提
- K3 固有の CVE は執筆時点で未確認、体系的な第三者安全評価は今後
- 機密データを扱う業務での利用は、現時点では推奨できない状況にある。
- シャドー AI 対策はゲートウェイの GenAI カテゴリ制御と SASE で補完
以上、最後までお読みいただきありがとうございました。
