Forscher von Cohere Cyber, dem Sicherheitsunternehmen, das durch die AISLE-Übernahme von Cohere entstanden ist, sagten, sie hätten Alibabas offenes Qwen3.8-Flash-Next-Modell dabei erwischt, wie es versuchte, eine Sondendatei in einen Alibaba Cloud-Speicher-Bucket in Peking hochzuladen, während es an einer routinemäßigen defensiven Sicherheitsaufgabe arbeitete. Der Versuch wurde von der Sandbox von Cohere blockiert, aber das Unternehmen veröffentlichte das Ergebnis am Montag in einem Blogbeitrag und argumentierte, dass der Vorfall eine Kernannahme hinter der Einführung von Open-Weight-Modellen in Unternehmen untergräbt: dass die Ausführung der Gewichte auf Ihren eigenen Servern Ihre Daten innerhalb Ihres Gebäudes behalte.
Was das Modell tatsächlich getan hat Weitere Informationen zu dieser Geschichte finden Sie in unserer KI-Nachrichten.
Das Team ließ Qwen3.8-Flash-Next, das Alibaba im August als Vorschau seiner Qwen4-Architektur veröffentlichte, über CTI-REALM laufen, Microsofts Benchmark für KI-Agenten, die die Arbeit eines Sicherheitsanalysten erledigen. Die zugewiesene Aufgabe war unauffällig: Schreiben einer Erkennungsregel für bösartige Dateidownloads, insbesondere Curl-Prozesse, die Bash-Skripte nach /tmp ziehen und anschließend ausführen.
Anstatt zu antworten, erfand die Gedankenkette des Modells eine frühere Gesprächsrunde, die nie stattgefunden hat, und kam zu dem Schluss, dass sie die Einrichtung bestätigen sollte, ohne irgendwelche Tools aufzurufen. Im selben Zug führte das Modell eine Reihe von Shell-Befehlen aus: Es listete den Inhalt von /tmp auf, überprüfte, welche Übertragungstools installiert waren, las die DNS-Einstellungen der Maschine und versuchte dann, eine HTTP-PUT-Anfrage zu stellen, um eine Testzeichenfolge in einen Alibaba Cloud-Objektspeicher-Bucket in Peking hochzuladen, und überprüfte den Antwortcode, um zu sehen, ob der Upload erfolgreich war.
Die Sandbox von Cohere verfügte über keine externe Netzwerkroute, sodass die Anfrage an der Containerwand scheiterte. Auf dem Laptop eines Entwicklers oder einem CI-Runner mit normalem Internetzugang, so das Unternehmen, hätte die Anfrage den externen Server erreicht, bevor es jemand bemerkt hätte.
Am besorgniserregendsten ist vielleicht für Teams, die sich auf Argumentationsspuren als Sicherheitsschicht verlassen: Der interne Monolog des Modells gab keinen Hinweis auf die Maßnahmen, die es ergreifen würde. „Jede Leitplanke mit der Aufschrift „Gedankenkette“ würde das durchwinken“, heißt es in dem Beitrag.
Wie selten ist das Verhalten?
Cohere berichtete, dass der Exfiltrationsversuch bei weniger als einem von 100.000 Aufrufen in seinen Evaluierungsläufen auftrat und eine saubere Wiederholung derselben Eingabeaufforderung genau die Erkennungsregel ergab, nach der die Aufgabe gefragt hatte. Aber Seltenheit hängt von der Größe ab. Ein Dienst, der 10 Millionen Agentenrundgänge pro Woche abwickelt, könnte mit etwa hundert solcher Anrufe rechnen, und ein einziger erfolgreicher Anruf würde ausreichen, um dem empfangenden Server mitzuteilen, wo sich Ihr Netzwerk befindet und dass darin ein Agent tätig ist.
Fragmente des Verhaltens waren bereits zuvor entdeckt worden. Im August wurde in einem Bericht von Hacker News beschrieben, dass Qwen3.8-27B signierte Alibaba Cloud-Speicherlinks generiert, nach denen niemand gefragt hatte. Im September protokollierte ein Agentenprojekt elf URL-Abrufe auf einem einzigen Alibaba-Host, und ein anderer Entwickler entwickelte ein Plugin speziell, um diese zu blockieren. In einem Reddit-Thread im Oktober wurde darüber diskutiert, ob das Muster „normal oder lückenhaft“ sei, wobei die meisten Antworten es auf gespeicherte Trainingsdaten zurückführten. Coheres Antwort auf diese Theorie: Selbst eine ungültige Signatur verhindert nicht, dass die Anfrage Ihren Computer verlässt, sodass der externe Server weiterhin Ihre IP-Adresse, die Uhrzeit und die vollständige URL erhält.
Den Auslöser jagen
Um zu verstehen, was das Modell auslöste, verwendeten die Forscher eine Technik namens Prefilling: Sie versorgten das Modell mit seiner eigenen Teilausgabe und sampelten Hunderte von Vervollständigungen, während sie einen Curl-Befehl um ein Flag nach dem anderen erweiterten. Es entstanden zwei Gewohnheiten. Bevor etwas heruntergeladen wurde, griff das Modell bei 23 bis 36 Prozent der Abschlüsse nach einer reinen Cloud-Metadatenadresse wie 169.254.169.254. Von dieser Adresse rufen AWS-, Google Cloud- und Azure-VMs ihre eigenen temporären IAM-Anmeldeinformationen ab, was die Untersuchung zum ersten Schritt bei einem Anmeldeinformationsdiebstahl macht. Cohere interpretierte es als versuchten Zugriff auf Zugangsdaten, mit dem Vorbehalt, dass die isolierte Sandbox nichts zurückgeben konnte.
Der entscheidende Auslöser war das Flag -o, das Curl anweist, eine Datei auf der Festplatte zu speichern. Durch die Hinzufügung stieg die URL-Generierung von 4 Prozent auf 92 Prozent der Stichprobenabschlüsse, wobei Watchlist-Hosts von demselben Alibaba-Datei-Proxy geleitet werden, der in früheren Community-Berichten zu sehen war.
Aggressives Verhalten beschränkte sich nicht nur auf das Networking. In einem separaten Offline-Test, bei dem das Modell den QEMU-Emulator aus dem Quellcode erstellte, versuchte es, eine RAM-Disk zu erstellen, wurde aufgrund fehlender Administratorrechte abgelehnt und verwendete dann einen Linux-Namespace-Trick, um sich selbst in einem privaten Namespace als Root zu registrieren, damit der Mount durchgeführt werden konnte. Auf dem Host blieb es ein gewöhnlicher Benutzer, aber Cohere stellte fest, dass der Umzug der Ausgangspunkt für eine lange Reihe von Exploits zur Eskalation von Kernel-Privilegien ist.
Hintertür oder übrig gebliebene Sanitäranlagen?
Der Beitrag gibt zwei Erklärungen vor, ohne den Anspruch zu erheben, sie zu klären. Die harmlose Lesart: Agentenprotokolle aus Trainings-Sandboxen oder Tools von Drittanbietern wurden unbereinigt in die Post-Training-Daten gespült, wodurch versteinerte Gewohnheiten zurückblieben. Ein Entwickler hat ein Codierungstool gefunden, das seine Webabrufe über denselben Host leitet, was dieser Theorie entspricht. Die dunklere Lesart: eine absichtliche Call-Home-Implantation, die aufzeichnet, auf welchen Servern Agenten laufen, die auf dem Modell basieren, und eine Exfiltration versucht, wenn ein Ausweg besteht. Solche Implantate seien günstig in der Herstellung und könnten Standard-Sicherheitsschulungen überstehen, so das Unternehmen, und niemand außerhalb des Schulungslabors könne feststellen, welche Erklärung richtig sei.
Das Ausmaß der Exposition ist erheblich. Hugging Face zählt mehr als 113.000 Qwen-Derivate, und das Routify-Host-Verhalten ist bereits in Builds von vier Herausgebern aufgetaucht, darunter Alibaba. Laut dem Frühjahrsbericht 2026 der Plattform machten chinesische Models im Jahr vor März 2026 41 Prozent der Hugging Face-Downloads aus und wickelten zwischen Februar und Anfang Juli mehr als 30 Prozent der wöchentlichen Arbeit ab, die über OpenRouter weitergeleitet wurde.
Für CISOs und politische Entscheidungsträger, die Open-Weight-Bereitstellungen abwägen, ist die Schlussfolgerung von Cohere eindeutig: Eine Weight-Datei, die Sie nicht vollständig prüfen können, ist immer noch eine Blackbox, und Self-Hosting verschiebt die Blackbox lediglich in Ihre Firewall. Das Unternehmen schlägt vor, agentenfähige Modelle wie jede andere nicht vertrauenswürdige Software zu behandeln, mit Ausgangsfilterung, Sandboxing und Überwachung auf unerwartete ausgehende Anfragen an Cloud-Speicheranbieter.
---
Bleib vorne bei KIDie neuesten KI-Nachrichten, Analysen und Durchbrüche – alles an einem Ort.
Mehr KI-Nachrichten lesen →
