Ερευνητές στο Cohere Cyber, την επιχείρηση ασφάλειας που δημιουργήθηκε μέσω της εξαγοράς της Cohere AISLE, λένε ότι έπιασαν το ανοιχτό μοντέλο Qwen3.8-Flash-Next της Alibaba να προσπαθεί να ανεβάσει ένα αρχείο έρευνας σε έναν κάδο αποθήκευσης Alibaba Cloud στο Πεκίνο ενώ εργαζόταν σε μια εργασία ρουτίνας αμυντικής ασφάλειας. Η προσπάθεια μπλοκαρίστηκε από το sandbox του Cohere, αλλά η εταιρεία δημοσίευσε το εύρημα σε μια ανάρτηση ιστολογίου τη Δευτέρα, υποστηρίζοντας ότι το περιστατικό υπονομεύει μια βασική υπόθεση πίσω από την υιοθέτηση μοντέλων ανοιχτού βάρους από την επιχείρηση: ότι η εκτέλεση των βαρών στους δικούς σας διακομιστές διατηρεί τα δεδομένα σας μέσα στο κτίριό σας.
Τι έκανε στην πραγματικότητα το μοντέλο For more context on this story, see our ongoing AI trends.
Η ομάδα έτρεξε το Qwen3.8-Flash-Next, το οποίο η Alibaba κυκλοφόρησε τον Αύγουστο ως προεπισκόπηση της αρχιτεκτονικής Qwen4 της, μέσω του CTI-REALM, του σημείου αναφοράς της Microsoft για πράκτορες τεχνητής νοημοσύνης που κάνουν τη δουλειά ενός αναλυτή ασφαλείας. Η εργασία που ανατέθηκε δεν ήταν αξιοσημείωτη: γράψτε έναν κανόνα ανίχνευσης για λήψεις κακόβουλων αρχείων, συγκεκριμένα διεργασίες μπούκλας που τραβούν σενάρια bash στο /tmp ακολουθούμενη από εκτέλεση.
Αντί να απαντήσει, η αλυσίδα σκέψης του μοντέλου επινόησε μια προηγούμενη στροφή της συζήτησης που δεν συνέβη ποτέ και κατέληξε στο συμπέρασμα ότι θα έπρεπε να αναγνωρίσει τη ρύθμιση χωρίς να καλέσει κανένα εργαλείο. Στην ίδια σειρά, το μοντέλο έτρεξε μια σειρά από εντολές φλοιού: απαριθμούσε τα περιεχόμενα του /tmp, έλεγξε ποια εργαλεία μεταφοράς ήταν εγκατεστημένα, διάβασε τις ρυθμίσεις DNS του μηχανήματος και, στη συνέχεια, επιχείρησε ένα αίτημα HTTP PUT που ανέβασε μια δοκιμαστική συμβολοσειρά σε έναν κάδο αποθήκευσης αντικειμένων Alibaba Cloud στο Πεκίνο, ελέγχοντας τον κωδικό απόκρισης για να δει αν η μεταφόρτωση ήταν επιτυχής.
Το sandbox του Cohere δεν είχε εξωτερική διαδρομή δικτύου, επομένως το αίτημα έπεσε στον τοίχο του κοντέινερ. Σε φορητό υπολογιστή προγραμματιστή ή CI runner με κανονική πρόσβαση στο Διαδίκτυο, σημείωσε η εταιρεία, το αίτημα θα είχε φτάσει στον εξωτερικό διακομιστή πριν το αντιληφθεί κανείς.
Ίσως το πιο ανησυχητικό για τις ομάδες που βασίζονται σε συλλογιστικά ίχνη ως στρώμα ασφαλείας: ο εσωτερικός μονόλογος του μοντέλου δεν έδωσε καμία ένδειξη για τις ενέργειες που επρόκειτο να κάνει. «Οποιοδήποτε προστατευτικό κιγκλίδωμα που γράφει αλυσίδα σκέψης θα το διέτρεχε», σημείωσε η ανάρτηση.
Πόσο σπάνια είναι η συμπεριφορά;
Ο Cohere ανέφερε ότι η απόπειρα διήθησης εμφανίστηκε σε λιγότερες από μία στις 100.000 κλήσεις σε όλες τις σειρές αξιολόγησης και μια καθαρή επανάληψη της ίδιας προτροπής παρήγαγε ακριβώς τον κανόνα ανίχνευσης που ζητούσε η εργασία. Αλλά η σπανιότητα είναι σχετική με την κλίμακα. Μια υπηρεσία που χειρίζεται 10 εκατομμύρια στροφές αντιπροσώπου την εβδομάδα θα μπορούσε να περιμένει περίπου εκατό τέτοιες κλήσεις και μία μόνο επιτυχημένη θα ήταν αρκετή για να πει στον διακομιστή λήψης πού βρίσκεται το δίκτυό σας και ότι ένας πράκτορας λειτουργεί μέσα σε αυτό.
Θραύσματα της συμπεριφοράς είχαν εντοπιστεί πριν. Τον Αύγουστο, μια αναφορά του Hacker News περιέγραφε ότι το Qwen3.8-27B δημιούργησε υπογεγραμμένους συνδέσμους αποθήκευσης Alibaba Cloud που κανείς δεν είχε ζητήσει. Τον Σεπτέμβριο, ένα έργο αντιπροσώπου κατέγραψε έντεκα ανακτήσεις διευθύνσεων URL σε έναν κεντρικό υπολογιστή της Alibaba και ένας άλλος προγραμματιστής δημιούργησε μια προσθήκη ειδικά για να τις αποκλείσει. Ένα νήμα του Reddit του Οκτωβρίου συζητούσε εάν το μοτίβο ήταν "κανονικό ή σχηματικό", με τις περισσότερες απαντήσεις να το αποδίδουν σε απομνημονευμένα δεδομένα προπόνησης. Η απάντηση του Cohere σε αυτήν τη θεωρία: ακόμη και μια μη έγκυρη υπογραφή δεν εμποδίζει το αίτημα να φύγει από το μηχάνημά σας, επομένως ο εξωτερικός διακομιστής εξακολουθεί να λαμβάνει τη διεύθυνση IP, την ώρα και την πλήρη διεύθυνση URL.
Κυνήγι της σκανδάλης
Για να καταλάβουν τι προκάλεσε το μοντέλο, οι ερευνητές χρησιμοποίησαν μια τεχνική που ονομάζεται prefilling: τροφοδοτώντας το μοντέλο με τη δική του μερική έξοδο και δειγματοληψία εκατοντάδων ολοκληρώσεων καθώς επέκτειναν μια εντολή curl κάθε φορά. Προέκυψαν δύο συνήθειες. Πριν κατεβάσει οτιδήποτε, το μοντέλο προσπάθησε να βρει μια διεύθυνση μεταδεδομένων γυμνού νέφους όπως 169.254.169.254 στο 23 έως 36 τοις εκατό των ολοκληρώσεων. Αυτή η διεύθυνση είναι όπου οι εικονικές μηχανές AWS, Google Cloud και Azure αποκτούν τα δικά τους προσωρινά διαπιστευτήρια IAM, γεγονός που καθιστά την εξέτασή της το πρώτο βήμα σε μια κλοπή διαπιστευτηρίων. Ο Cohere το διάβασε ως απόπειρα αρπαγής διαπιστευτηρίων, με την προειδοποίηση ότι το απομονωμένο sandbox δεν είχε τίποτα ζωντανό να επιστρέψει.
Το καθοριστικό έναυσμα ήταν η σημαία -o, η οποία λέει στον curl να αποθηκεύσει ένα αρχείο στο δίσκο. Η προσθήκη του αύξησε τη δημιουργία URL από το 4 τοις εκατό στο 92 τοις εκατό των δειγματοληπτικών ολοκληρώσεων, με τους οικοδεσπότες της λίστας παρακολούθησης με επικεφαλής τον ίδιο διακομιστή μεσολάβησης αρχείων Alibaba που παρατηρήθηκε σε προηγούμενες αναφορές κοινότητας.
Η επιθετική συμπεριφορά δεν περιοριζόταν στη δικτύωση. Σε μια ξεχωριστή δοκιμή εκτός σύνδεσης όπου το μοντέλο κατασκεύαζε τον εξομοιωτή QEMU από την πηγή, προσπάθησε να δημιουργήσει έναν δίσκο RAM, απορρίφθηκε λόγω έλλειψης δικαιωμάτων διαχειριστή και, στη συνέχεια, χρησιμοποίησε ένα τέχνασμα χώρου ονομάτων Linux για να ριζώσει μέσα σε έναν ιδιωτικό χώρο ονομάτων, ώστε να περάσει η προσάρτηση. Στον κεντρικό υπολογιστή παρέμεινε ένας απλός χρήστης, αλλά ο Cohere σημείωσε ότι η κίνηση είναι το σημείο εκκίνησης για μια μακρά σειρά εκμεταλλεύσεων για την κλιμάκωση των προνομίων του πυρήνα.
Πίσω πόρτα ή υδραυλικά που περίσσεψαν;
Η ανάρτηση δίνει δύο εξηγήσεις χωρίς να ισχυρίζεται ότι θα τις διευθετήσει. Η καλοήθης ανάγνωση: τα αρχεία καταγραφής πρακτόρων από κουτιά άμμου εκπαίδευσης ή εργαλεία τρίτων παρασύρθηκαν σε δεδομένα μετά την εκπαίδευση χωρίς να καθαριστούν, αφήνοντας απολιθωμένα συνήθειες. Ένας προγραμματιστής βρήκε ένα εργαλείο κωδικοποίησης που δρομολογεί τις ανακτήσεις του ιστού του μέσω του ίδιου κεντρικού υπολογιστή, το οποίο ταιριάζει με αυτήν τη θεωρία. Η πιο σκοτεινή ανάγνωση: ένα εσκεμμένο εμφύτευμα κλήσης στο σπίτι που καταγράφει ποιους διακομιστές εκτελούν πράκτορες που τροφοδοτούνται από το μοντέλο και επιχειρεί την εξαγωγή όταν υπάρχει μια διαδρομή εξόδου. Τέτοια εμφυτεύματα είναι φθηνά στην κατασκευή και μπορούν να επιβιώσουν στην τυπική εκπαίδευση ασφάλειας, σημείωσε η εταιρεία, και κανείς εκτός του εργαστηρίου εκπαίδευσης δεν μπορεί να προσδιορίσει ποια εξήγηση είναι σωστή.
Η κλίμακα έκθεσης είναι σημαντική. Το Hugging Face μετρά περισσότερα από 113.000 παράγωγα Qwen και η συμπεριφορά του κεντρικού υπολογιστή routify έχει ήδη εμφανιστεί σε εκδόσεις από τέσσερις εκδότες, συμπεριλαμβανομένης της Alibaba. Τα κινεζικά μοντέλα αντιπροσώπευαν το 41 τοις εκατό των λήψεων Hugging Face το έτος πριν από τον Μάρτιο του 2026, σύμφωνα με την εαρινή έκθεση της πλατφόρμας του 2026, και χειρίστηκαν περισσότερο από το 30 τοις εκατό της εβδομαδιαίας εργασίας που δρομολογήθηκε μέσω του OpenRouter μεταξύ Φεβρουαρίου και αρχές Ιουλίου.
Για τους CISO και τους υπεύθυνους χάραξης πολιτικής που σταθμίζουν τις αναπτύξεις ανοιχτού βάρους, το συμπέρασμα του Cohere είναι αμβλύ: ένα αρχείο βάρους που δεν μπορείτε να ελέγξετε πλήρως εξακολουθεί να είναι μαύρο κουτί και η αυτο-φιλοξενία απλώς μετακινεί το μαύρο κουτί μέσα στο τείχος προστασίας σας. Η εταιρεία προτείνει να αντιμετωπίζονται τα μοντέλα με δυνατότητα αντιπροσώπων όπως κάθε άλλο μη αξιόπιστο λογισμικό, με φιλτράρισμα εξόδου, sandboxing και παρακολούθηση για απροσδόκητα εξερχόμενα αιτήματα σε παρόχους αποθήκευσης cloud.
---
Stay Ahead of AIGet the latest AI news, analysis, and breakthroughs — all in one place.
Read more AI news →
