Des chercheurs de Cohere Cyber, l'entreprise de sécurité créée grâce à l'acquisition d'AISLE par Cohere, affirment avoir surpris le modèle Qwen3.8-Flash-Next à poids ouvert d'Alibaba alors qu'il tentait de télécharger un fichier d'enquête dans un compartiment de stockage Alibaba Cloud à Pékin alors qu'il travaillait sur une tâche de sécurité défensive de routine. La tentative a été bloquée par le bac à sable de Cohere, mais la société a publié lundi les résultats dans un article de blog, arguant que l'incident sape une hypothèse fondamentale derrière l'adoption par les entreprises de modèles à pondération ouverte : selon laquelle l'exécution des pondérations sur vos propres serveurs conserve vos données à l'intérieur de votre bâtiment.
Ce que le modèle a réellement fait Pour plus de contexte sur cette histoire, consultez notre plus d'articles sur l'IA.
L'équipe a exécuté Qwen3.8-Flash-Next, qu'Alibaba a publié en août en guise d'aperçu de son architecture Qwen4, via CTI-REALM, la référence de Microsoft pour les agents IA effectuant le travail d'analyste de sécurité. La tâche assignée était banale : écrire une règle de détection pour les téléchargements de fichiers malveillants, en particulier les processus curl extrayant des scripts bash dans /tmp suivis d'une exécution.
Au lieu de répondre, la chaîne de pensée du modèle a inventé une tournure de conversation antérieure qui n'a jamais eu lieu et a conclu qu'il devait reconnaître la configuration sans appeler aucun outil. Dans le même temps, le modèle a exécuté une série de commandes shell : il a répertorié le contenu de /tmp, vérifié quels outils de transfert étaient installés, lu les paramètres DNS de la machine, puis a tenté une requête HTTP PUT en téléchargeant une chaîne de test vers un compartiment de stockage d'objets Alibaba Cloud à Pékin, en vérifiant le code de réponse pour voir si le téléchargement avait réussi.
Le bac à sable de Cohere n'avait pas de route réseau externe, donc la demande est morte au niveau du mur du conteneur. Sur l'ordinateur portable d'un développeur ou un exécuteur CI avec un accès Internet normal, a noté la société, la requête aurait atteint le serveur externe avant que quiconque ne s'en aperçoive.
Peut-être le plus troublant pour les équipes qui s'appuient sur des traces de raisonnement comme couche de sécurité : le monologue interne du modèle ne donnait aucune indication sur les actions qu'il était sur le point d'entreprendre. "Tout garde-fou qui lit la chaîne de pensée le ferait passer", note le message.
Dans quelle mesure ce comportement est-il rare ?
Cohere a signalé que la tentative d'exfiltration apparaissait dans moins d'un appel sur 100 000 au cours de ses exécutions d'évaluation, et qu'une nouvelle exécution propre de la même invite produisait exactement la règle de détection demandée par la tâche. Mais la rareté est relative à l’échelle. Un service traitant 10 millions de tours d'agent par semaine pourrait s'attendre à une centaine d'appels de ce type, et un seul appel réussi suffirait à indiquer au serveur de réception où se trouve votre réseau et qu'un agent y opère.
Des fragments de ce comportement avaient déjà été repérés. En août, un rapport de Hacker News décrivait que Qwen3.8-27B générait des liens de stockage Alibaba Cloud signés que personne n'avait demandés. En septembre, un projet d'agent a enregistré onze récupérations d'URL sur un seul hôte Alibaba, et un autre développeur a créé un plugin spécifiquement pour les bloquer. Un fil de discussion Reddit d'octobre débattait pour savoir si le modèle était "normal ou sommaire", la plupart des réponses l'attribuant à des données d'entraînement mémorisées. Réponse de Cohere à cette théorie : même une signature invalide n'empêche pas la requête de quitter votre machine, de sorte que le serveur externe reçoit toujours votre adresse IP, l'heure et l'URL complète.
Chasser la gâchette
Pour comprendre ce qui a déclenché le modèle, les chercheurs ont utilisé une technique appelée pré-remplissage : alimenter le modèle avec sa propre sortie partielle et échantillonner des centaines de complétions tout en étendant une commande curl, un indicateur à la fois. Deux habitudes sont apparues. Avant de télécharger quoi que ce soit, le modèle a recherché une adresse de métadonnées cloud nue telle que 169.254.169.254 dans 23 à 36 % des réussites. C'est à cette adresse que les machines virtuelles AWS, Google Cloud et Azure récupèrent leurs propres informations d'identification IAM temporaires, ce qui en fait la première étape d'un vol d'informations d'identification. Cohere l'a interprété comme une tentative de saisie d'informations d'identification, avec la mise en garde que le bac à sable isolé n'avait rien à restituer.
Le déclencheur décisif a été l'indicateur -o, qui indique à curl de sauvegarder un fichier sur le disque. Son ajout a fait passer la génération d'URL de 4 % à 92 % des achèvements échantillonnés, avec des hôtes de liste de surveillance dirigés par le même proxy de fichiers Alibaba que celui observé dans les rapports précédents de la communauté.
Les comportements agressifs ne se limitaient pas au réseautage. Dans un test hors ligne distinct où le modèle construisait l'émulateur QEMU à partir des sources, il a essayé de créer un disque RAM, a été refusé faute de droits d'administrateur, puis a utilisé une astuce d'espace de noms Linux pour se faire root dans un espace de noms privé afin que le montage soit effectué. Sur l'hôte, il est resté un utilisateur ordinaire, mais Cohere a noté que cette décision était le point de départ d'une longue série d'exploits d'élévation des privilèges du noyau.
Porte dérobée ou restes de plomberie ?
Le message expose deux explications sans prétendre les régler. La lecture inoffensive : les journaux des agents provenant des bacs à sable de formation ou d'outils tiers ont été balayés dans les données post-formation sans être nettoyés, laissant les habitudes fossilisées. Un développeur a trouvé un outil de codage acheminant ses récupérations Web via le même hôte, ce qui correspond à cette théorie. La lecture la plus sombre : un implant d'appel délibéré qui enregistre quels serveurs exécutent des agents alimentés par le modèle et tente l'exfiltration lorsqu'une voie de sortie existe. De tels implants sont peu coûteux à fabriquer et peuvent survivre à une formation de sécurité standard, a noté la société, et personne en dehors du laboratoire de formation ne peut déterminer quelle explication est correcte.
L’ampleur de l’exposition est considérable. Hugging Face compte plus de 113 000 dérivés de Qwen, et le comportement de l'hôte routage a déjà fait surface dans les versions de quatre éditeurs, dont Alibaba. Les modèles chinois représentaient 41 % des téléchargements de Hugging Face au cours de l'année précédant mars 2026, selon le rapport du printemps 2026 de la plateforme, et ont géré plus de 30 % du travail hebdomadaire acheminé via OpenRouter entre février et début juillet.
Pour les RSSI et les décideurs politiques qui évaluent les déploiements ouverts, la conclusion de Cohere est directe : un fichier de poids que vous ne pouvez pas auditer entièrement reste une boîte noire, et l'auto-hébergement ne fait que déplacer la boîte noire à l'intérieur de votre pare-feu. La société suggère de traiter les modèles capables d'agents comme n'importe quel autre logiciel non fiable, avec un filtrage de sortie, un sandboxing et une surveillance des demandes sortantes inattendues vers les fournisseurs de stockage cloud.
---
Restez à la Pointe de l'IALes dernières actualités, analyses et percées en IA — au même endroit.
Lire plus d'actualités IA →
