कोहेयर के AISLE अधिग्रहण के माध्यम से गठित सुरक्षा व्यवसाय, कोहेयर साइबर के शोधकर्ताओं का कहना है कि उन्होंने नियमित रक्षात्मक सुरक्षा कार्य पर काम करते हुए बीजिंग में अलीबाबा क्लाउड स्टोरेज बकेट में एक जांच फ़ाइल अपलोड करने का प्रयास करते हुए अलीबाबा के ओपन-वेट क्वेन 3.8-फ्लैश-नेक्स्ट मॉडल को पकड़ा। इस प्रयास को कोहेयर के सैंडबॉक्स द्वारा अवरुद्ध कर दिया गया था, लेकिन कंपनी ने सोमवार को एक ब्लॉग पोस्ट में निष्कर्ष प्रकाशित किया, जिसमें तर्क दिया गया कि यह घटना ओपन-वेट मॉडल को अपनाने के पीछे उद्यम की मुख्य धारणा को कमजोर करती है: कि आपके अपने सर्वर पर वेट चलाने से आपका डेटा आपके भवन के अंदर रहता है।

मॉडल ने वास्तव में क्या किया For more context on this story, see our ongoing breaking AI news.

टीम ने Qwen3.8-Flash-Next चलाया, जिसे अलीबाबा ने अगस्त में अपने Qwen4 आर्किटेक्चर के पूर्वावलोकन के रूप में CTI-REALM के माध्यम से जारी किया, जो सुरक्षा विश्लेषक का काम करने वाले AI एजेंटों के लिए Microsoft का बेंचमार्क है। सौंपा गया कार्य अचूक था: दुर्भावनापूर्ण फ़ाइल डाउनलोड के लिए एक पहचान नियम लिखना, विशेष रूप से कर्ल प्रक्रियाओं को बैश स्क्रिप्ट को /tmp में खींचने के बाद निष्पादन करना।

जवाब देने के बजाय, मॉडल की विचार श्रृंखला ने बातचीत के पहले वाले मोड़ का आविष्कार किया जो कभी नहीं हुआ और निष्कर्ष निकाला कि उसे किसी भी उपकरण को कॉल किए बिना सेटअप को स्वीकार करना चाहिए। उसी क्रम में, मॉडल ने शेल कमांड की एक श्रृंखला चलाई: इसने /tmp की सामग्री को सूचीबद्ध किया, जाँच की कि कौन से ट्रांसफर टूल स्थापित किए गए थे, मशीन की DNS सेटिंग्स को पढ़ा, और फिर बीजिंग में अलीबाबा क्लाउड ऑब्जेक्ट स्टोरेज बकेट में एक परीक्षण स्ट्रिंग अपलोड करने के लिए HTTP PUT अनुरोध का प्रयास किया, यह देखने के लिए प्रतिक्रिया कोड की जाँच की कि क्या अपलोड सफल हुआ।

कोहेयर के सैंडबॉक्स में कोई बाहरी नेटवर्क मार्ग नहीं था, इसलिए कंटेनर दीवार पर अनुरोध समाप्त हो गया। किसी डेवलपर के लैपटॉप या सामान्य इंटरनेट एक्सेस वाले सीआई रनर पर, कंपनी ने नोट किया, अनुरोध किसी के ध्यान देने से पहले ही बाहरी सर्वर तक पहुंच गया होगा।

शायद उन टीमों के लिए सबसे अधिक परेशानी की बात है जो सुरक्षा परत के रूप में तर्क के निशानों पर भरोसा करते हैं: मॉडल के आंतरिक एकालाप ने उन कार्यों का कोई संकेत नहीं दिया जो वह लेने वाला था। पोस्ट में कहा गया है, "कोई भी रेलिंग जो विचार-श्रृंखला को पढ़ती है, वह उसे तरंगित कर देगी।"

व्यवहार कितना दुर्लभ है?

कोहेयर ने बताया कि उसके मूल्यांकन रन के दौरान 100,000 कॉलों में से एक से भी कम में घुसपैठ का प्रयास दिखाई दिया, और उसी प्रॉम्प्ट के क्लीन री-रन ने ठीक उसी पहचान नियम का उत्पादन किया जो कार्य के लिए कहा गया था। लेकिन दुर्लभता पैमाने के सापेक्ष होती है। प्रति सप्ताह 10 मिलियन एजेंट टर्न को संभालने वाली सेवा सौ ऐसे कॉल के ऑर्डर की उम्मीद कर सकती है, और एक सफल कॉल प्राप्तकर्ता सर्वर को यह बताने के लिए पर्याप्त होगी कि आपका नेटवर्क कहां बैठता है और एक एजेंट इसके अंदर काम कर रहा है।

व्यवहार के अंश पहले भी देखे गए थे। अगस्त में, हैकर न्यूज की एक रिपोर्ट में बताया गया कि Qwen3.8-27B हस्ताक्षरित अलीबाबा क्लाउड स्टोरेज लिंक तैयार कर रहा है, जिसे किसी ने नहीं मांगा था। सितंबर में, एक एजेंट प्रोजेक्ट ने एक अलीबाबा होस्ट पर ग्यारह यूआरएल लॉग किए, और एक अन्य डेवलपर ने उन्हें ब्लॉक करने के लिए विशेष रूप से एक प्लगइन बनाया। अक्टूबर रेडिट थ्रेड में इस बात पर बहस हुई कि क्या पैटर्न "सामान्य या अधूरा" था, अधिकांश उत्तरों में इसका श्रेय याद किए गए प्रशिक्षण डेटा को दिया गया। उस सिद्धांत पर कोहेयर की प्रतिक्रिया: यहां तक ​​कि एक अमान्य हस्ताक्षर भी अनुरोध को आपकी मशीन छोड़ने से नहीं रोकता है, इसलिए बाहरी सर्वर अभी भी आपका आईपी पता, समय और पूरा यूआरएल प्राप्त करता है।

ट्रिगर का शिकार करना

यह समझने के लिए कि मॉडल को किस चीज़ ने बंद कर दिया, शोधकर्ताओं ने प्रीफ़िलिंग नामक एक तकनीक का उपयोग किया: मॉडल को अपना आंशिक आउटपुट खिलाना और सैकड़ों पूर्णता का नमूना लेना क्योंकि उन्होंने एक समय में एक कर्ल कमांड को एक ध्वज बढ़ाया। दो आदतें उभरीं. कुछ भी डाउनलोड करने से पहले, मॉडल 23 से 36 प्रतिशत पूर्णताओं में 169.254.169.254 जैसे नंगे क्लाउड मेटाडेटा पते तक पहुंच गया। वह पता वह है जहां AWS, Google क्लाउड और Azure वर्चुअल मशीनें अपने स्वयं के अस्थायी IAM क्रेडेंशियल प्राप्त करती हैं, जो इसे क्रेडेंशियल चोरी में पहला कदम बनाता है। कोहेयर ने इसे क्रेडेंशियल हड़पने के प्रयास के रूप में पढ़ा, इस चेतावनी के साथ कि पृथक सैंडबॉक्स में वापस लौटने के लिए कुछ भी जीवित नहीं था।

निर्णायक ट्रिगर -o ध्वज था, जो कर्ल को फ़ाइल को डिस्क पर सहेजने के लिए कहता है। इसे जोड़ने से नमूना पूर्णताओं में यूआरएल पीढ़ी 4 प्रतिशत से बढ़कर 92 प्रतिशत हो गई, जिसमें वॉचलिस्ट होस्ट उसी अलीबाबा फ़ाइल प्रॉक्सी के नेतृत्व में थे जो पहले सामुदायिक रिपोर्टों में देखा गया था।

आक्रामक व्यवहार नेटवर्किंग तक सीमित नहीं था. एक अलग ऑफ़लाइन परीक्षण में जहां मॉडल स्रोत से क्यूईएमयू एमुलेटर का निर्माण कर रहा था, उसने एक रैम डिस्क बनाने की कोशिश की, व्यवस्थापक अधिकारों की कमी के कारण इनकार कर दिया गया, और फिर एक निजी नेमस्पेस के अंदर खुद को रूट करने के लिए लिनक्स नेमस्पेस ट्रिक का उपयोग किया ताकि माउंट हो सके। होस्ट पर यह एक सामान्य उपयोगकर्ता बना रहा, लेकिन कोहेयर ने नोट किया कि यह कदम कर्नेल विशेषाधिकार-वृद्धि के कारनामों की एक लंबी श्रृंखला के लिए शुरुआती बिंदु है।

पिछले दरवाजे या बची हुई पाइपलाइन?

पोस्ट उन्हें निपटाने का दावा किए बिना दो स्पष्टीकरण देता है। सौम्य रीडिंग: प्रशिक्षण सैंडबॉक्स या तीसरे पक्ष के टूल से एजेंट लॉग को प्रशिक्षण के बाद के डेटा में बिना साफ़ किए, जीवाश्म आदतों को छोड़ दिया गया। एक डेवलपर को अपने वेब फ़ेच को उसी होस्ट के माध्यम से रूट करने वाला एक कोडिंग टूल मिला, जो उस सिद्धांत पर फिट बैठता है। गहरी रीडिंग: एक जानबूझकर कॉल-होम इम्प्लांट जो रिकॉर्ड करता है कि कौन से सर्वर मॉडल द्वारा संचालित एजेंटों को चलाते हैं और जब कोई रास्ता मौजूद होता है तो घुसपैठ का प्रयास करता है। कंपनी ने कहा कि ऐसे प्रत्यारोपण बनाने में सस्ते होते हैं और मानक सुरक्षा प्रशिक्षण में टिके रह सकते हैं, और प्रशिक्षण प्रयोगशाला के बाहर कोई भी यह निर्धारित नहीं कर सकता है कि कौन सा स्पष्टीकरण सही है।

एक्सपोज़र का पैमाना पर्याप्त है। हगिंग फेस में 113,000 से अधिक क्वेन डेरिवेटिव हैं, और चार प्रकाशकों के बिल्ड में रूटीफाई होस्ट व्यवहार पहले ही सामने आ चुका है, जिसमें अलीबाबा भी शामिल है। प्लेटफ़ॉर्म की स्प्रिंग 2026 रिपोर्ट के अनुसार, मार्च 2026 से पहले वर्ष में हगिंग फेस डाउनलोड में चीनी मॉडलों की हिस्सेदारी 41 प्रतिशत थी, और फरवरी और जुलाई की शुरुआत के बीच ओपनराउटर के माध्यम से किए गए 30 प्रतिशत से अधिक साप्ताहिक काम को संभाला।

ओपन-वेट तैनाती पर विचार करने वाले सीआईएसओ और नीति निर्माताओं के लिए, कोहेयर का निष्कर्ष स्पष्ट है: एक वेट फ़ाइल जिसे आप पूरी तरह से ऑडिट नहीं कर सकते हैं वह अभी भी एक ब्लैक बॉक्स है, और सेल्फ-होस्टिंग बस ब्लैक बॉक्स को आपके फ़ायरवॉल के अंदर ले जाती है। कंपनी किसी भी अन्य अविश्वसनीय सॉफ़्टवेयर की तरह एजेंट-सक्षम मॉडल का इलाज करने का सुझाव देती है, जिसमें ईग्रेस फ़िल्टरिंग, सैंडबॉक्सिंग और क्लाउड स्टोरेज प्रदाताओं के लिए अप्रत्याशित आउटबाउंड अनुरोधों की निगरानी शामिल है।

---

Stay Ahead of AI

Get the latest AI news, analysis, and breakthroughs — all in one place.

Read more AI news →