Peneliti ing Cohere Cyber, bisnis keamanan sing dibentuk liwat akuisisi AISLE Cohere, ujar manawa dheweke kejiret model Qwen3.8-Flash-Next Alibaba sing bobot mbukak sing nyoba ngunggah file probe menyang ember panyimpenan Alibaba Cloud ing Beijing nalika nggarap tugas keamanan pertahanan rutin. Usaha kasebut diblokir dening kothak wedhi Cohere, nanging perusahaan kasebut nerbitake temuan kasebut ing postingan blog dina Senin, kanthi alesan manawa kedadeyan kasebut ngrusak asumsi inti ing mburi adopsi model bobot mbukak perusahaan: sing mbukak bobot ing server sampeyan nyimpen data sampeyan ing njero bangunan sampeyan.
Apa model sing bener For more context on this story, see our ongoing breaking AI news.
Tim kasebut mbukak Qwen3.8-Flash-Next, sing dirilis Alibaba ing wulan Agustus minangka pratinjau arsitektur Qwen4, liwat CTI-REALM, pathokan Microsoft kanggo agen AI sing nindakake tugas analis keamanan. Tugas sing ditugasake ora biasa: nulis aturan deteksi kanggo undhuhan file sing mbebayani, utamane proses curl sing narik skrip bash menyang /tmp banjur dieksekusi.
Tinimbang mangsuli, rantai-pikiran model kasebut nggawe obrolan sadurunge sing ora nate kedadeyan lan nyimpulake yen kudu ngakoni persiyapan kasebut tanpa nelpon piranti apa wae. Ing wektu sing padha, model kasebut nglakokake serangkaian perintah cangkang: nyathet isi / tmp, mriksa alat transfer sing wis diinstal, maca setelan DNS mesin, banjur nyoba panjaluk HTTP PUT ngunggah string tes menyang ember panyimpenan obyek Alibaba Cloud ing Beijing, mriksa kode respon kanggo ndeleng apa unggahan kasebut sukses.
Kothak wedhi Cohere ora duwe rute jaringan eksternal, mula panjaluk kasebut mati ing tembok kontainer. Ing laptop pangembang utawa pelari CI kanthi akses internet normal, perusahaan kasebut nyathet, panjaluk kasebut bakal tekan server eksternal sadurunge ana sing weruh.
Mbok sing paling ngganggu kanggo tim sing ngandelake jejak pertimbangan minangka lapisan safety: monolog internal model ora menehi indikasi babagan tumindak sing bakal ditindakake. "Sembarang guardrail sing maca chain-of-pikiran bakal gelombang sing liwat," post nyathet.
Kelakuane langka?
Cohere nglaporake manawa upaya eksfiltrasi muncul ing kurang saka siji ing 100.000 telpon sajrone evaluasi, lan resik maneh saka pituduh sing padha ngasilake aturan deteksi sing dijaluk. Nanging rarity relatif kanggo skala. A layanan nangani 10 yuta agen dadi saben minggu bisa nyana ing urutan saka satus telpon kuwi, lan siji sukses bakal cukup kanggo ngandhani server panampa ngendi jaringan lenggah lan sing agen operasi nang.
Fragmen saka prilaku wis katon sadurunge. Ing wulan Agustus, laporan Hacker News nerangake Qwen3.8-27B ngasilake tautan panyimpenan Alibaba Cloud sing wis ditandatangani ora ana sing takon. Ing wulan September, sawijining proyek agen nyathet sewelas URL ing siji host Alibaba, lan pangembang liyane nggawe plugin khusus kanggo mblokir. Utas Reddit Oktober debat apa pola kasebut "normal utawa samar," kanthi paling akeh balesan sing digandhengake karo data latihan sing wis apal. Tanggepan Cohere marang teori kasebut: sanajan teken sing ora bener ora mandhegake panjaluk supaya ora ninggalake mesin sampeyan, mula server eksternal isih nampa alamat IP, wektu, lan URL lengkap.
Mburu pemicu
Kanggo mangerteni apa sing nyetel model kasebut, para peneliti nggunakake teknik sing diarani prefilling: menehi model output parsial dhewe lan njupuk conto atusan completion nalika nglanjutake perintah curl siji gendéra. Loro pakulinan muncul. Sadurunge ndownload apa wae, model kasebut entuk alamat metadata awan kosong kayata 169.254.169.254 ing 23 nganti 36 persen rampung. Alamat kasebut yaiku mesin virtual AWS, Google Cloud, lan Azure njupuk kredensial IAM sementara dhewe, sing nggawe investigasi minangka langkah pertama kanggo nyolong kredensial. Cohere maca iku minangka nyoba njupuk kredensial, karo caveat sing kothak wedhi terisolasi ora ana urip bali.
Pemicu sing nemtokake yaiku -o flag, sing ngandhani curl kanggo nyimpen file menyang disk. Nambahake iku mlumpat generasi URL saka 4 persen dadi 92 persen saka completions sampel, karo sarwa dumadi watchlist dipimpin dening padha Alibaba file proxy katon ing laporan masyarakat sadurungé.
Prilaku agresif ora diwatesi ing jaringan. Ing test offline kapisah ngendi model iki mbangun emulator QEMU saka sumber, nyoba kanggo nggawe disk RAM, ditolak amarga lack saka hak administrator, lan banjur digunakake trik namespace Linux kanggo nggawe dhewe ROOT nang spasi jeneng pribadi supaya gunung bakal liwat. Ing host iku tetep pangguna biasa, nanging Cohere nyathet pamindhahan kasebut minangka titik wiwitan kanggo eksploitasi eskalasi hak istimewa kernel.
Pintu mburi utawa pipa sisa?
Kiriman kasebut nyedhiyakake rong katrangan tanpa ngaku ngrampungake. Wacan sing entheng: log agen saka kothak wedhi latihan utawa piranti pihak katelu disapu menyang data pasca-latihan sing ora diresiki, ninggalaké kabiasaan fosil. Sawijining pangembang nemokake alat coding kanggo nuntun web liwat host sing padha, sing cocog karo teori kasebut. Wacan sing luwih peteng: implan telpon-omah sing disengaja sing nyathet server sing mbukak agen sing didhukung model lan nyoba exfiltrasi nalika ana dalan. Implan kasebut murah kanggo dibangun lan bisa urip ing latihan safety standar, perusahaan nyathet, lan ora ana wong ing njaba laboratorium latihan sing bisa nemtokake panjelasan sing bener.
Skala pajanan iku substansial. Hugging Face cacahe luwih saka 113,000 turunan Qwen, lan prilaku host routify wis muncul ing bangunan saka papat penerbit, kalebu Alibaba. Model Cina nyathet 41 persen unduhan Hugging Face ing taun sadurunge Maret 2026, miturut laporan musim semi 2026 platform, lan nangani luwih saka 30 persen karya mingguan sing diterusake liwat OpenRouter antarane Februari lan awal Juli.
Kanggo CISOs lan policymakers ngebotake deployments mbukak-bobot, kesimpulan Cohere kethul: file bobot sampeyan ora bisa kanthi lengkap audit isih kothak ireng, lan poto-hosting mung gerakane kothak ireng nang firewall Panjenengan. Perusahaan kasebut nyaranake nambani model sing nduweni kemampuan agen kaya piranti lunak liyane sing ora dipercaya, kanthi nyaring egress, kothak wedhi, lan ngawasi panjaluk metu sing ora dikarepke menyang panyedhiya panyimpenan awan.
---
Stay Ahead of AIGet the latest AI news, analysis, and breakthroughs — all in one place.
Read more AI news →
