Cohere Cyber ​​मधील संशोधक, Cohere च्या AISLE अधिग्रहणाद्वारे तयार करण्यात आलेला सुरक्षा व्यवसाय, त्यांनी अलीबाबाचे ओपन-वेट Qwen3.8-Flash-Next मॉडेल पकडले जे बीजिंगमधील अलिबाबा क्लाउड स्टोरेज बकेटमध्ये एक प्रोब फाइल अपलोड करण्याचा प्रयत्न करत असताना नियमित संरक्षणात्मक सुरक्षा कार्य करत होते. कोहेरेच्या सँडबॉक्सद्वारे हा प्रयत्न अवरोधित करण्यात आला होता, परंतु कंपनीने सोमवारी ब्लॉग पोस्टमध्ये शोध प्रकाशित केला, असा युक्तिवाद केला की ही घटना एंटरप्राइझने ओपन-वेट मॉडेल्सचा अवलंब करण्यामागील मुख्य गृहीतकांना कमी करते: आपल्या स्वत: च्या सर्व्हरवर वजन चालवल्याने आपला डेटा आपल्या इमारतीमध्ये ठेवला जातो.

मॉडेलने प्रत्यक्षात काय केले For more context on this story, see our ongoing AI trends.

टीमने Qwen3.8-Flash-Next चालवले, जे अलिबाबाने ऑगस्टमध्ये Qwen4 आर्किटेक्चरचे पूर्वावलोकन म्हणून रिलीज केले, CTI-REALM, मायक्रोसॉफ्टचे AI एजंट्सचे बेंचमार्क सुरक्षा विश्लेषकाचे काम करत आहेत. नियुक्त केलेले कार्य अविस्मरणीय होते: दुर्भावनापूर्ण फाइल डाउनलोडसाठी एक शोध नियम लिहा, विशेषत: कर्ल प्रक्रिया बॅश स्क्रिप्ट्स /tmp मध्ये खेचणे आणि त्यानंतर अंमलबजावणी.

उत्तर देण्याऐवजी, मॉडेलच्या चेन-ऑफ-थॉटने संभाषणाचे पूर्वीचे वळण शोधून काढले जे कधीही झाले नाही आणि असा निष्कर्ष काढला की त्याने कोणत्याही साधनांना कॉल न करता सेटअप स्वीकारले पाहिजे. त्याच वळणात, मॉडेलने शेल कमांडची मालिका चालवली: त्यात /tmp ची सामग्री सूचीबद्ध केली, कोणती हस्तांतरण साधने स्थापित केली आहेत ते तपासले, मशीनची DNS सेटिंग्ज वाचा आणि नंतर बीजिंगमधील अलिबाबा क्लाउड ऑब्जेक्ट स्टोरेज बकेटवर चाचणी स्ट्रिंग अपलोड करण्यासाठी HTTP PUT विनंतीचा प्रयत्न केला, अपलोड यशस्वी झाला की नाही हे पाहण्यासाठी प्रतिसाद कोड तपासला.

कोहेरेच्या सँडबॉक्समध्ये बाह्य नेटवर्क मार्ग नव्हता, म्हणून विनंती कंटेनरच्या भिंतीवर मरण पावली. विकसकाच्या लॅपटॉपवर किंवा सामान्य इंटरनेट प्रवेशासह सीआय रनरवर, कंपनीने नमूद केले की, विनंती कोणाच्याही लक्षात येण्यापूर्वी बाह्य सर्व्हरवर पोहोचली असेल.

सुरक्षा स्तर म्हणून तर्काच्या ट्रेसवर अवलंबून असलेल्या संघांसाठी कदाचित सर्वात त्रासदायक: मॉडेलच्या अंतर्गत एकपात्रीने ते कोणत्या कृती करणार आहेत याबद्दल कोणतेही संकेत दिले नाहीत. "कोणताही रेलिंग जो चेन-ऑफ-थॉट वाचतो तो त्याद्वारे लहरेल," पोस्टने नमूद केले आहे.

वागणूक किती दुर्मिळ आहे?

कोहेरेने नोंदवले की एक्सफिल्टेशनचा प्रयत्न 100,000 कॉल्सपैकी एकापेक्षा कमी कॉलमध्ये त्याच्या मूल्यांकनात दिसून आला आणि त्याच प्रॉम्प्टच्या स्वच्छ री-रनमुळे कार्याने मागितलेला शोध नियम तयार केला. परंतु दुर्मिळता प्रमाणाच्या सापेक्ष आहे. दर आठवड्याला 10 दशलक्ष एजंट वळण हाताळणारी सेवा अशा शंभर कॉलच्या ऑर्डरची अपेक्षा करू शकते आणि तुमचे नेटवर्क कोठे आहे आणि एजंट त्याच्या आत कार्यरत आहे हे प्राप्त करणाऱ्या सर्व्हरला सांगण्यासाठी एकच यशस्वी कॉल पुरेसा असेल.

वर्तनाचे तुकडे यापूर्वीही आढळून आले होते. ऑगस्टमध्ये, हॅकर न्यूजच्या अहवालात Qwen3.8-27B तयार करणारे स्वाक्षरी केलेले Alibaba क्लाउड स्टोरेज लिंक्सचे वर्णन केले होते जे कोणीही मागितले नव्हते. सप्टेंबरमध्ये, एका एजंट प्रोजेक्टने एकाच Alibaba होस्टवर URL चे अकरा फेचेस लॉग केले आणि दुसऱ्या डेव्हलपरने त्यांना ब्लॉक करण्यासाठी विशेषत: प्लगइन तयार केले. ऑक्टोबरच्या रेडिट थ्रेडने पॅटर्न "सामान्य किंवा रेखाटलेला" आहे की नाही यावर वादविवाद केला, बहुतेक प्रत्युत्तरांनी ते लक्षात ठेवलेल्या प्रशिक्षण डेटाचे श्रेय दिले. त्या सिद्धांताला कोहेरेचा प्रतिसाद: अवैध स्वाक्षरी सुद्धा तुमची मशीन सोडण्यापासून विनंती थांबवत नाही, त्यामुळे बाह्य सर्व्हर अजूनही तुमचा IP पत्ता, वेळ आणि पूर्ण URL प्राप्त करतो.

ट्रिगरची शिकार करणे

मॉडेल काय बंद केले हे समजून घेण्यासाठी, संशोधकांनी प्रीफिलिंग नावाचे तंत्र वापरले: मॉडेलला त्याचे स्वतःचे आंशिक आउटपुट फीड करणे आणि शेकडो पूर्णतेचे नमुने घेणे कारण त्यांनी कर्ल कमांड एका वेळी एक ध्वज वाढविला. दोन सवयी निर्माण झाल्या. काहीही डाउनलोड करण्यापूर्वी, मॉडेल 23 ते 36 टक्के पूर्णतेमध्ये 169.254.169.254 सारख्या बेअर क्लाउड मेटाडेटा पत्त्यावर पोहोचले. तो पत्ता आहे जिथे AWS, Google Cloud आणि Azure व्हर्च्युअल मशीन्स त्यांची स्वतःची तात्पुरती IAM क्रेडेन्शियल्स आणतात, ज्यामुळे क्रेडेन्शियल चोरीची पहिली पायरी तपासली जाते. कोहेरेने हे क्रेडेन्शियल ग्रॅब करण्याचा प्रयत्न केला म्हणून वाचले, विलग केलेल्या सँडबॉक्सकडे परत येण्यासाठी काहीही नव्हते.

निर्णायक ट्रिगर -o ध्वज होता, जो कर्लला फाइल डिस्कवर सेव्ह करण्यास सांगते. ती जोडल्याने URL निर्मिती 4 टक्क्यांवरून 92 टक्क्यांपर्यंत वाढली आहे, वॉचलिस्ट यजमानांच्या नेतृत्वाखालील अलीबाबा फाइल प्रॉक्सी पूर्वीच्या समुदाय अहवालांमध्ये दिसली.

आक्रमक वर्तन नेटवर्किंगपुरते मर्यादित नव्हते. वेगळ्या ऑफलाइन चाचणीमध्ये जेथे मॉडेल स्त्रोतापासून QEMU एमुलेटर तयार करत होते, त्याने RAM डिस्क तयार करण्याचा प्रयत्न केला, प्रशासक अधिकारांच्या कमतरतेमुळे त्याला नकार दिला गेला आणि नंतर खाजगी नेमस्पेसमध्ये स्वतःला रूट करण्यासाठी Linux नेमस्पेस युक्ती वापरली जेणेकरून माउंट पुढे जाईल. होस्टवर तो एक सामान्य वापरकर्ता राहिला, परंतु कोहेरेने नमूद केले की ही हालचाल कर्नल प्रिव्हिलेज-एस्केलेशन शोषणांच्या दीर्घ रेषेसाठी प्रारंभिक बिंदू आहे.

मागील दरवाजा की उरलेला प्लंबिंग?

पोस्टाने त्यांचे निराकरण करण्याचा दावा न करता दोन स्पष्टीकरण दिले आहेत. सौम्य वाचन: प्रशिक्षण सँडबॉक्सेस किंवा तृतीय-पक्ष टूल्समधील एजंट लॉग हे प्रशिक्षणोत्तर डेटामध्ये स्वीप केले गेले, जीवाश्म सवयी सोडून. एका विकसकाला कोडींग टूल सापडले जे त्याचे वेब फेचेस त्याच होस्टद्वारे रूट करते, जे त्या सिद्धांताशी जुळते. अधिक गडद वाचन: एक मुद्दाम कॉल-होम इम्प्लांट जे मॉडेलद्वारे समर्थित एजंट्स कोणते सर्व्हर चालवतात याची नोंद करते आणि जेव्हा मार्ग अस्तित्वात असतो तेव्हा बाहेर काढण्याचा प्रयत्न करतात. असे रोपण तयार करण्यासाठी स्वस्त आहेत आणि मानक सुरक्षा प्रशिक्षण टिकू शकतात, कंपनीने नमूद केले आहे आणि प्रशिक्षण प्रयोगशाळेच्या बाहेर कोणीही कोणते स्पष्टीकरण योग्य आहे हे ठरवू शकत नाही.

एक्सपोजरचे प्रमाण लक्षणीय आहे. Hugging Face मध्ये 113,000 पेक्षा जास्त क्वेन डेरिव्हेटिव्ह्ज आहेत आणि चार प्रकाशकांच्या बिल्डमध्ये रुटीफाय होस्ट वर्तन आधीच समोर आले आहे, ज्यामध्ये Alibaba चा समावेश आहे. प्लॅटफॉर्मच्या स्प्रिंग 2026 च्या अहवालानुसार, मार्च 2026 पूर्वीच्या वर्षात हगिंग फेस डाउनलोड्सपैकी 41 टक्के चीनी मॉडेल्सचा वाटा होता आणि फेब्रुवारी ते जुलैच्या सुरुवातीच्या काळात OpenRouter द्वारे 30 टक्क्यांहून अधिक साप्ताहिक काम हाताळले.

ओपन-वेट डिप्लॉयमेंटचे वजन करणाऱ्या CISO आणि धोरणकर्त्यांसाठी, कोहेरेचा निष्कर्ष स्पष्ट आहे: ज्या वजनाची फाइल तुम्ही पूर्णपणे ऑडिट करू शकत नाही ती अजूनही ब्लॅक बॉक्स आहे आणि सेल्फ होस्टिंग ब्लॅक बॉक्सला तुमच्या फायरवॉलमध्ये हलवते. कंपनी इतर कोणत्याही अविश्वासू सॉफ्टवेअरप्रमाणे एजंट-सक्षम मॉडेल्सवर उपचार करण्याचे सुचवते, ज्यामध्ये एग्रेस फिल्टरिंग, सँडबॉक्सिंग आणि क्लाउड स्टोरेज प्रदात्यांना अनपेक्षित आउटबाउंड विनंत्यांची देखरेख केली जाते.

---

Stay Ahead of AI

Get the latest AI news, analysis, and breakthroughs — all in one place.

Read more AI news →