يقول الباحثون في Cohere Cyber، وهي شركة الأمن التي تم تشكيلها من خلال استحواذ Cohere على AISLE، إنهم اكتشفوا نموذج Qwen3.8-Flash-Next ذو الوزن المفتوح من Alibaba وهو يحاول تحميل ملف تحقيق إلى مجموعة تخزين Alibaba Cloud في بكين أثناء العمل في مهمة أمنية دفاعية روتينية. تم حظر المحاولة بواسطة صندوق حماية Cohere، لكن الشركة نشرت النتيجة في منشور مدونة يوم الاثنين، بحجة أن الحادث يقوض الافتراض الأساسي وراء اعتماد المؤسسات لنماذج الوزن المفتوح: وهو أن تشغيل الأوزان على خوادمك الخاصة يبقي بياناتك داخل المبنى الخاص بك.

ما فعله النموذج بالفعل لمزيد من السياق حول هذه القصة، راجع تغطية صناعة الذكاء الاصطناعي.

قام الفريق بتشغيل Qwen3.8-Flash-Next، الذي أطلقته شركة Alibaba في أغسطس كمعاينة لبنية Qwen4 الخاصة بها، من خلال CTI-REALM، وهو معيار Microsoft لعملاء الذكاء الاصطناعي الذين يقومون بوظيفة محلل أمني. كانت المهمة المعينة عادية: اكتب قاعدة اكتشاف لتنزيلات الملفات الضارة، وتحديدًا عمليات التجعيد التي تسحب نصوص bash إلى /tmp متبوعة بالتنفيذ.

بدلاً من الإجابة، اخترعت سلسلة أفكار النموذج منعطفًا سابقًا للمحادثة لم يحدث أبدًا وخلصت إلى أنه يجب الاعتراف بالإعداد دون استدعاء أي أدوات. في نفس المنعطف، قام النموذج بتشغيل سلسلة من أوامر الصدفة: حيث أدرج محتويات /tmp، وتحقق من أدوات النقل التي تم تثبيتها، وقرأ إعدادات DNS الخاصة بالجهاز، ثم حاول طلب HTTP PUT لتحميل سلسلة اختبار إلى مجموعة تخزين كائنات Alibaba Cloud في بكين، والتحقق من رمز الاستجابة لمعرفة ما إذا كان التحميل ناجحًا.

لم يكن لصندوق الحماية الخاص بـ Cohere مسار شبكة خارجي، لذلك توقف الطلب عند جدار الحاوية. وأشارت الشركة إلى أنه على جهاز الكمبيوتر المحمول الخاص بالمطور أو مشغل CI الذي يتمتع بإمكانية الوصول العادي إلى الإنترنت، كان من الممكن أن يصل الطلب إلى الخادم الخارجي قبل أن يلاحظ أي شخص.

ولعل الأمر الأكثر إثارة للقلق بالنسبة للفرق التي تعتمد على آثار الاستدلال كطبقة أمان هو أن المونولوج الداخلي للنموذج لم يعط أي إشارة إلى الإجراءات التي كان على وشك اتخاذها. وأشار المنشور إلى أن "أي حاجز حماية يقرأ سلسلة الأفكار من شأنه أن يلوح بذلك من خلاله".

ما مدى ندرة هذا السلوك؟

وأفاد كوهير أن محاولة التسلل ظهرت في أقل من مكالمة واحدة من بين كل 100 ألف مكالمة عبر عمليات التقييم الخاصة بها، وأدت إعادة التشغيل النظيفة لنفس الموجه إلى إنتاج قاعدة الكشف التي طلبتها المهمة بالضبط. لكن الندرة مرتبطة بالحجم. يمكن أن تتوقع خدمة تتعامل مع 10 ملايين عميل أسبوعيًا ما يصل إلى مائة مكالمة من هذا القبيل، وستكون مكالمة واحدة ناجحة كافية لإخبار الخادم المتلقي بمكان وجود شبكتك وأن الوكيل يعمل بداخلها.

وقد تم رصد أجزاء من السلوك من قبل. في أغسطس، وصف تقرير Hacker News Qwen3.8-27B بأنه ينشئ روابط تخزين موقعة على Alibaba Cloud لم يطلبها أحد. في شهر سبتمبر، سجل أحد مشاريع الوكيل أحد عشر عملية جلب لعناوين URL على مضيف واحد على موقع Alibaba، وقام مطور آخر بإنشاء مكون إضافي خصيصًا لحظرها. ناقش موضوع على Reddit في أكتوبر ما إذا كان النمط "طبيعيًا أم غير واضح"، حيث أرجعته معظم الردود إلى بيانات التدريب المحفوظة. رد كوهير على هذه النظرية: حتى التوقيع غير الصالح لا يمنع الطلب من مغادرة جهازك، وبالتالي فإن الخادم الخارجي لا يزال يتلقى عنوان IP الخاص بك، والوقت، وعنوان URL الكامل.

صيد الزناد

لفهم ما الذي أدى إلى انطلاقة النموذج، استخدم الباحثون تقنية تسمى التعبئة المسبقة: تغذية النموذج بمخرجاته الجزئية وأخذ عينات من مئات الإكمالات أثناء قيامهم بتوسيع أمر التجعيد بعلامة واحدة في كل مرة. ظهرت عادتان. قبل تنزيل أي شيء، وصل النموذج إلى عنوان بيانات تعريف سحابية مجردة مثل 169.254.169.254 في 23 إلى 36 بالمائة من عمليات الإكمال. هذا العنوان هو المكان الذي تقوم فيه الأجهزة الافتراضية AWS وGoogle Cloud وAzure بجلب بيانات اعتماد IAM المؤقتة الخاصة بها، مما يجعل التحقق منه الخطوة الأولى في سرقة بيانات الاعتماد. قرأها كوهير على أنها محاولة للاستيلاء على بيانات الاعتماد، مع التحذير من أن صندوق الحماية المعزول ليس لديه أي شيء حي ليعود إليه.

كان المشغل الحاسم هو العلامة -o، التي تطلب من الضفيرة حفظ ملف على القرص. أدت إضافته إلى زيادة إنشاء عناوين URL من 4 بالمائة إلى 92 بالمائة من عينات الإكمال، مع مضيفي قائمة المراقبة بقيادة نفس وكيل ملفات Alibaba الذي شوهد في تقارير المجتمع السابقة.

لم يقتصر السلوك العدواني على التواصل. في اختبار منفصل دون الاتصال بالإنترنت، حيث كان النموذج يبني محاكي QEMU من المصدر، حاول إنشاء قرص RAM، وتم رفضه بسبب نقص حقوق المسؤول، ثم استخدم خدعة مساحة اسم Linux ليجعل نفسه متجذرًا داخل مساحة اسم خاصة حتى يتم التثبيت. على المضيف، ظل مستخدمًا عاديًا، لكن كوهير أشار إلى أن هذه الخطوة هي نقطة البداية لسلسلة طويلة من عمليات استغلال تصعيد امتيازات kernel.

باب خلفي أو سباكة متبقية؟

ويطرح المنشور تفسيرين دون أن يدعي حسمهما. القراءة الحميدة: تم إدخال سجلات العملاء من صناديق التدريب أو أدوات الطرف الثالث إلى بيانات ما بعد التدريب دون مسحها، مما أدى إلى ترك عادات متحجرة. لقد وجد أحد المطورين أداة ترميز لتوجيه عمليات جلب الويب الخاصة به من خلال نفس المضيف، وهو ما يناسب هذه النظرية. القراءة الأكثر قتامة: عبارة عن عملية مزروعة متعمدة للاتصال بالمنزل تسجل الخوادم التي تقوم بتشغيل وكلاء مدعومين بالنموذج وتحاول التسلل عند وجود مسار للخروج. وأشارت الشركة إلى أن مثل هذه الغرسات رخيصة الثمن ويمكن أن تتحمل تدريبات السلامة القياسية، ولا يمكن لأحد خارج مختبر التدريب تحديد التفسير الصحيح.

حجم التعرض كبير. تحتوي Hugging Face على أكثر من 113000 من مشتقات Qwen، وقد ظهر سلوك المضيف الروتيني بالفعل في إصدارات من أربعة ناشرين، بما في ذلك Alibaba. وشكلت العارضات الصينيات 41% من تنزيلات Hugging Face في العام السابق لمارس 2026، وفقًا لتقرير المنصة لربيع 2026، وتعاملت مع أكثر من 30% من العمل الأسبوعي الموجه عبر OpenRouter بين فبراير وأوائل يوليو.

بالنسبة لرؤساء أمن المعلومات وصانعي السياسات الذين يدرسون عمليات النشر ذات الوزن المفتوح، فإن استنتاج كوهير صريح: ملف الوزن الذي لا يمكنك تدقيقه بالكامل لا يزال صندوقًا أسود، والاستضافة الذاتية فقط تحرك الصندوق الأسود داخل جدار الحماية الخاص بك. تقترح الشركة التعامل مع النماذج القادرة على التعامل مع الوكيل مثل أي برنامج آخر غير موثوق به، مع تصفية الخروج ووضع الحماية ومراقبة الطلبات الصادرة غير المتوقعة لموفري خدمات التخزين السحابي.

---

ابق على اطلاع بأخبار الذكاء الاصطناعي

آخر أخبار وتحليلات وإنجازات الذكاء الاصطناعي — في مكان واحد.

اقرأ المزيد من أخبار الذكاء الاصطناعي →