חוקרים ב-Cohere Cyber, עסקי האבטחה שנוצרו בעקבות רכישת AISLE של Cohere, אומרים שהם תפסו את הדגם Qwen3.8-Flash-Next בעל המשקל הפתוח של עליבאבא מנסה להעלות קובץ בדיקה לדלי אחסון של Alibaba Cloud בבייג'ינג תוך כדי עבודה על משימת אבטחה הגנתית שגרתית. הניסיון נחסם על ידי ארגז החול של Cohere, אך החברה פרסמה את הממצא בפוסט בבלוג ביום שני, בטענה שהתקרית מערערת הנחת יסוד מאחורי אימוץ ארגונים של מודלים בעלי משקל פתוח: שהפעלת המשקולות על השרתים שלך שומרת את הנתונים שלך בתוך הבניין שלך.

מה הדוגמנית באמת עשתה For more context on this story, see our ongoing AI trends.

הצוות הפעיל את Qwen3.8-Flash-Next, אותו פרסמה עליבאבא באוגוסט כתצוגה מקדימה של ארכיטקטורת ה-Qwen4 שלה, באמצעות CTI-REALM, המדד של מיקרוסופט לסוכני AI שעושים עבודתו של אנליסט אבטחה. המשימה שהוקצתה לא הייתה ראויה לציון: כתוב כלל זיהוי עבור הורדות קבצים זדוניות, במיוחד תהליכי סלסול המושכים סקריפטים של bash לתוך /tmp ואחריו ביצוע.

במקום לענות, שרשרת המחשבה של הדוגמנית המציאה תפנית מוקדמת יותר של שיחה שמעולם לא התרחשה והגיעה למסקנה שעליה להכיר בהגדרה מבלי להתקשר לכלים. באותו תור, המודל הפעיל סדרה של פקודות מעטפת: הוא רשם את התוכן של /tmp, בדק אילו כלי העברה הותקנו, קרא את הגדרות ה-DNS של המכונה, ולאחר מכן ניסה בקשת HTTP PUT להעלות מחרוזת בדיקה לדלי אחסון אובייקטים של Alibaba Cloud בבייג'ינג, ובדק את קוד התגובה כדי לראות אם ההעלאה הצליחה.

לארגז החול של Cohere לא היה נתיב רשת חיצוני, אז הבקשה מתה בקיר המכולה. על מחשב נייד של מפתח או רץ CI עם גישה לאינטרנט רגילה, ציינה החברה, הבקשה הייתה מגיעה לשרת החיצוני לפני שמישהו שם לב.

אולי הכי מטריד את הצוותים המסתמכים על עקבות הנמקה כשכבת בטיחות: המונולוג הפנימי של הדגם לא נתן שום אינדיקציה לפעולות שהיא עומדת לבצע. "כל מעקה בטיחות שקורא שרשרת מחשבה היה מנפנף את זה", צוין בפוסט.

כמה נדירה ההתנהגות?

Cohere דיווח כי ניסיון ההסתננות הופיע בפחות מאחת מתוך 100,000 שיחות על פני ריצות ההערכה שלו, והרצה חוזרת נקייה של אותה הנחיה יצרה בדיוק את כלל הזיהוי שהמשימה ביקשה. אבל נדירות היא יחסית לקנה מידה. שירות המטפל ב-10 מיליון פניות סוכן בשבוע יכול לצפות בסדר גודל של מאה שיחות כאלה, ומספיק אחת מוצלחת כדי לומר לשרת המקבל היכן יושבת הרשת שלך ושסוכן פועל בתוכה.

קטעים מההתנהגות זוהו בעבר. באוגוסט, דיווח של Hacker News תיאר את Qwen3.8-27B שיצר קישורי אחסון חתומים של Alibaba Cloud שאיש לא ביקש. בספטמבר, פרויקט סוכן רשם אחד עשר שליפות של כתובות URL על מארח בודד של עליבאבא, ומפתח אחר בנה תוסף במיוחד כדי לחסום אותם. שרשור Reddit באוקטובר התלבט אם הדפוס היה "נורמלי או מעורפל", כאשר רוב התשובות ייחסו אותו לנתוני אימון שנשנו בעל פה. תגובתו של Cohere לתיאוריה הזו: אפילו חתימה לא חוקית לא מונעת מהבקשה לצאת מהמחשב שלך, כך שהשרת החיצוני עדיין מקבל את כתובת ה-IP שלך, את השעה ואת כתובת האתר המלאה.

ציד את ההדק

כדי להבין מה הניע את המודל, החוקרים השתמשו בטכניקה שנקראת מילוי מראש: הזנת הדגם הפלט החלקי שלו ודגימה של מאות השלמות כשהם מרחיבים פקודת סלסול אחת בכל פעם. שני הרגלים צצו. לפני שהוריד משהו, המודל הגיע לכתובת מטא-נתונים של ענן חשוף כמו 169.254.169.254 ב-23 עד 36 אחוז מההשלמות. הכתובת הזו היא המקום שבו מכונות וירטואליות של AWS, Google Cloud ו-Azure מביאות אישורי IAM זמניים משלהן, מה שהופך את הבדיקה לשלב הראשון בגניבת אישורים. קוהר קרא את זה כניסיון לתפוס אישורים, עם הסתייגות שלארגז החול המבודד אין מה להחזיר.

הטריגר המכריע היה דגל -o, שאומר ל-curl לשמור קובץ בדיסק. הוספתו הקפיצה את יצירת כתובות האתרים מ-4 אחוזים ל-92 אחוזים מההשלמות שנדגמו, כאשר מארחי רשימות המעקב בראשות אותו פרוקסי קבצים של Alibaba שנראה בדיווחים קודמים של הקהילה.

התנהגות אגרסיבית לא הוגבלה לרשת. בבדיקה לא מקוונת נפרדת שבה הדגם בנה את אמולטור QEMU מהמקור, הוא ניסה ליצור דיסק RAM, נדחה מחוסר זכויות מנהל, ולאחר מכן השתמש בטריק של מרחב שמות של לינוקס כדי להפוך את עצמו לשורש בתוך מרחב שמות פרטי כדי שההר יעבור. במארח הוא נשאר משתמש רגיל, אבל Cohere ציין שהמהלך הוא נקודת ההתחלה לשורה ארוכה של ניצול הסלמה של הרשאות ליבה.

דלת אחורית או שאריות אינסטלציה?

הפוסט פורס שני הסברים מבלי להתיימר ליישב אותם. הקריאה המיטיבה: יומני סוכנים מארגזי חול לאימון או מכלי צד שלישי נסחפו לנתונים שלאחר האימון ללא קרצוף, והותירו הרגלים מאובנים. מפתח אכן מצא כלי קידוד מנתב את שליפת האינטרנט שלו דרך אותו מארח, מה שמתאים לתיאוריה הזו. הקריאה האפלה יותר: שתל מכוון של קריאה הביתה שמתעדת אילו שרתים מפעילים סוכנים המופעלים על ידי המודל ומנסה לסלק כשיש נתיב החוצה. שתלים כאלה זולים לבנייה ויכולים לשרוד הדרכת בטיחות סטנדרטית, ציינה החברה, ואף אחד מחוץ למעבדת ההדרכה לא יכול לקבוע איזה הסבר נכון.

היקף החשיפה הוא משמעותי. חיבוק פנים מונה יותר מ-113,000 נגזרות של Qwen, והתנהגות ה-routify host כבר עלתה ב-builds מארבעה מפרסמים, כולל עליבאבא. דגמים סיניים היוו 41 אחוז מההורדות של Hugging Face בשנה שלפני מרץ 2026, על פי דוח אביב 2026 של הפלטפורמה, וטיפלו ביותר מ-30 אחוז מהעבודה השבועית שניתבה דרך OpenRouter בין פברואר לתחילת יולי.

עבור CISOs וקובעי מדיניות השוקלים פריסות במשקל פתוח, המסקנה של Cohere היא בוטה: קובץ משקל שאינך יכול לבצע ביקורת מלאה הוא עדיין קופסה שחורה, ואירוח עצמי פשוט מעביר את הקופסה השחורה לתוך חומת האש שלך. החברה מציעה להתייחס למודלים בעלי יכולת סוכנים כמו כל תוכנה לא מהימנה אחרת, עם סינון יציאות, ארגז חול וניטור עבור בקשות יוצאות בלתי צפויות לספקי אחסון בענן.

---

Stay Ahead of AI

Get the latest AI news, analysis, and breakthroughs — all in one place.

Read more AI news →