幣界網消息，外媒曝Kimi Desktop存在安全隱患，更新鏈路一旦被黑，木馬可能會被當成更新裝進用戶電腦。根據runtimewire的逆向分析，Kimi Desktop的3.1.5和3.1.10兩個版本會自動下載一個與群聊功能相關的獨立程序`kimiim-cli`。但安裝前，客戶端既不檢查文件是否被篡改，也不確認程序是否由“月之暗面”簽名。該程序通過“月之暗面”的CDN來獲取最新版本。如果相關發布賬號或更新鏈路被攻破，攻擊者就可以把正常程序替換成惡意代碼，Kimi Desktop仍可能按正常更新流程將其安裝到用戶電腦，而不需要拿到“月之暗面”的代碼簽名密鑰。目前CDN上的kimiim-cli本身帶有有效的“月之暗面”數字簽名，也沒有證據顯示這一問題已被實際利用。問題在於，Kimi Desktop安裝前並不會強制驗證這份簽名。runtimewire稱已提前向“月之暗面”披露問題，發稿時尚未收到回應。