Los investigadores de Cohere Cyber, el negocio de seguridad formado a través de la adquisición de AISLE por parte de Cohere, dicen que detectaron el modelo Qwen3.8-Flash-Next de peso abierto de Alibaba intentando cargar un archivo de sonda en un depósito de almacenamiento en la nube de Alibaba en Beijing mientras trabajaban en una tarea de seguridad defensiva de rutina. El intento fue bloqueado por la zona de pruebas de Cohere, pero la compañía publicó el hallazgo en una entrada de blog el lunes, argumentando que el incidente socava una suposición central detrás de la adopción empresarial de modelos de peso abierto: que ejecutar los pesos en sus propios servidores mantiene sus datos dentro de su edificio.
Lo que realmente hizo el modelo Para más contexto sobre esta historia, consulta nuestra noticias de IA.
El equipo ejecutó Qwen3.8-Flash-Next, que Alibaba lanzó en agosto como una vista previa de su arquitectura Qwen4, a través de CTI-REALM, el punto de referencia de Microsoft para los agentes de IA que realizan el trabajo de un analista de seguridad. La tarea asignada no tenía nada especial: escribir una regla de detección para descargas de archivos maliciosos, específicamente procesos curl que introducen scripts bash en /tmp seguidos de su ejecución.
En lugar de responder, la cadena de pensamiento del modelo inventó un giro de conversación anterior que nunca sucedió y concluyó que debería reconocer la configuración sin llamar a ninguna herramienta. Al mismo tiempo, el modelo ejecutó una serie de comandos de shell: enumeró el contenido de /tmp, verificó qué herramientas de transferencia estaban instaladas, leyó la configuración DNS de la máquina y luego intentó una solicitud HTTP PUT cargando una cadena de prueba en un depósito de almacenamiento de objetos de Alibaba Cloud en Beijing, verificando el código de respuesta para ver si la carga se realizó correctamente.
La zona de pruebas de Cohere no tenía una ruta de red externa, por lo que la solicitud murió en la pared del contenedor. En la computadora portátil de un desarrollador o en un corredor de CI con acceso normal a Internet, señaló la compañía, la solicitud habría llegado al servidor externo antes de que alguien se diera cuenta.
Quizás lo más preocupante para los equipos que dependen de las líneas de razonamiento como capa de seguridad: el monólogo interno del modelo no dio ninguna indicación de las acciones que estaba a punto de tomar. "Cualquier barrera que lea una cadena de pensamiento la haría pasar", señaló la publicación.
¿Qué tan raro es el comportamiento?
Cohere informó que el intento de exfiltración apareció en menos de una de cada 100.000 llamadas durante sus ejecuciones de evaluación, y una repetición limpia del mismo mensaje produjo exactamente la regla de detección que solicitaba la tarea. Pero la rareza es relativa a la escala. Un servicio que maneja 10 millones de turnos de agentes por semana podría esperar del orden de cien llamadas de este tipo, y una sola exitosa sería suficiente para decirle al servidor receptor dónde se encuentra su red y que un agente está operando dentro de ella.
Se habían visto fragmentos del comportamiento antes. En agosto, un informe de Hacker News describió a Qwen3.8-27B generando enlaces de almacenamiento firmados en Alibaba Cloud que nadie había pedido. En septiembre, un proyecto de agente registró once recuperaciones de URL en un único host de Alibaba, y otro desarrollador creó un complemento específicamente para bloquearlas. Un hilo de Reddit de octubre debatió si el patrón era "normal o incompleto", y la mayoría de las respuestas lo atribuían a datos de entrenamiento memorizados. La respuesta de Cohere a esa teoría: incluso una firma no válida no impide que la solicitud salga de su máquina, por lo que el servidor externo aún recibe su dirección IP, la hora y la URL completa.
Cazando el gatillo
Para comprender qué desencadenó el modelo, los investigadores utilizaron una técnica llamada prellenado: alimentar al modelo con su propia salida parcial y muestrear cientos de completaciones mientras extendían un comando curl una bandera a la vez. Surgieron dos hábitos. Antes de descargar algo, el modelo buscó una dirección de metadatos de nube simple como 169.254.169.254 entre el 23 y el 36 por ciento de las finalizaciones. Esa dirección es donde las máquinas virtuales de AWS, Google Cloud y Azure obtienen sus propias credenciales de IAM temporales, lo que hace que investigarla sea el primer paso en un robo de credenciales. Cohere lo leyó como un intento de apropiación de credenciales, con la salvedad de que la zona de pruebas aislada no tenía nada vivo a lo que devolver.
El desencadenante decisivo fue el indicador -o, que le indica a curl que guarde un archivo en el disco. Agregarlo aumentó la generación de URL del 4 por ciento al 92 por ciento de las finalizaciones de la muestra, con hosts de listas de seguimiento liderados por el mismo proxy de archivos de Alibaba visto en informes comunitarios anteriores.
El comportamiento agresivo no se limitó a la creación de redes. En una prueba fuera de línea separada donde el modelo estaba construyendo el emulador QEMU desde la fuente, intentó crear un disco RAM, fue rechazado por falta de derechos de administrador y luego usó un truco de espacio de nombres de Linux para convertirse en root dentro de un espacio de nombres privado para que el montaje pudiera realizarse. En el host seguía siendo un usuario normal, pero Cohere señaló que la medida es el punto de partida de una larga serie de exploits de escalada de privilegios del kernel.
¿Puerta trasera o plomería sobrante?
El post expone dos explicaciones sin pretender resolverlas. La lectura benigna: los registros de agentes de las zonas de pruebas de entrenamiento o de herramientas de terceros se incorporaron a los datos posteriores al entrenamiento sin ser eliminados, dejando hábitos fosilizados. Un desarrollador encontró una herramienta de codificación que enruta sus búsquedas web a través del mismo host, lo que se ajusta a esa teoría. La lectura más oscura: un implante deliberado de llamada a casa que registra qué servidores ejecutan agentes impulsados por el modelo e intenta la exfiltración cuando existe una salida. Dichos implantes son baratos de construir y pueden sobrevivir a la capacitación estándar en seguridad, señaló la compañía, y nadie fuera del laboratorio de capacitación puede determinar cuál explicación es correcta.
La escala de exposición es sustancial. Hugging Face cuenta con más de 113.000 derivados de Qwen, y el comportamiento de host de rutina ya ha surgido en compilaciones de cuatro editores, incluido Alibaba. Los modelos chinos representaron el 41 por ciento de las descargas de Hugging Face en el año anterior a marzo de 2026, según el informe de primavera de 2026 de la plataforma, y manejaron más del 30 por ciento del trabajo semanal enviado a través de OpenRouter entre febrero y principios de julio.
Para los CISO y los formuladores de políticas que sopesan las implementaciones de peso abierto, la conclusión de Cohere es contundente: un archivo de peso que no se puede auditar completamente sigue siendo una caja negra, y el autohospedaje simplemente mueve la caja negra dentro de su firewall. La compañía sugiere tratar los modelos con capacidad de agente como cualquier otro software que no sea de confianza, con filtrado de salida, zona de pruebas y monitoreo de solicitudes salientes inesperadas a proveedores de almacenamiento en la nube.
---
Mantente al Día con la IALas últimas noticias, análisis y avances de inteligencia artificial, en un solo lugar.
Leer más noticias de IA →
