Cohere ၏ AISLE ဝယ်ယူမှုမှတစ်ဆင့် တည်ထောင်ထားသော လုံခြုံရေးလုပ်ငန်းဖြစ်သော Cohere Cyber ​​မှ သုတေသီများက ဘေဂျင်းရှိ အလီဘာဘာ Cloud သိုလှောင်မှုပုံးသို့ ပုံမှန်ခုခံကာကွယ်သည့် လုံခြုံရေးတာဝန်ကို လုပ်ဆောင်နေချိန်တွင် Alibaba ၏ အလွတ်တန်း Qwen3.8-Flash-Next မော်ဒယ်ကို ဖမ်းမိခဲ့ကြောင်း ပြောကြားခဲ့သည်။ Cohere ၏ sandbox မှ ကြိုးပမ်းမှုကို ပိတ်ဆို့ထားသော်လည်း ကုမ္ပဏီသည် အဆိုပါတွေ့ရှိချက်ကို တနင်္လာနေ့တွင် ဘလော့ဂ်ပို့စ်တစ်ခုတွင် ထုတ်ပြန်ခဲ့ပြီး အဆိုပါဖြစ်ရပ်သည် open-weight မော်ဒယ်များကို လုပ်ငန်းမှ လက်ခံကျင့်သုံးခြင်း၏ နောက်ကွယ်တွင် အခြေခံယူဆချက်ကို ပျက်ပြားစေသည်- သင်၏ကိုယ်ပိုင်ဆာဗာများပေါ်တွင် အလေးချိန်များလည်ပတ်ခြင်းသည် သင့်ဒေတာကို သင့်အဆောက်အဦအတွင်း၌ သိမ်းဆည်းထားခြင်းဖြစ်သည်။

မော်ဒယ်က ဘာတွေများ လုပ်ခဲ့လဲ။ For more context on this story, see our ongoing more AI stories.

အဆိုပါအဖွဲ့သည် ၎င်း၏ Qwen4 ဗိသုကာလက်ရာကို အစမ်းကြည့်ရှုမှုအဖြစ် ဩဂုတ်လတွင် ထုတ်ပြန်ခဲ့သည့် Qwen3.8-Flash-Next ကို CTI-REALM၊ Microsoft ၏ AI အေးဂျင့်များအတွက် လုံခြုံရေးအကဲခတ်မှုဆိုင်ရာ စံနှုန်းဖြင့် လုပ်ဆောင်ခဲ့သည်။ တာဝန်ပေးအပ်ခြင်းမှာ မှတ်သားဖွယ်မရှိပါ- အန္တရာယ်ရှိသော ဖိုင်ဒေါင်းလုဒ်များအတွက် ထောက်လှမ်းမှုစည်းမျဉ်းကိုရေးပါ၊ အထူးသဖြင့် bash scripts များကို /tmp ထဲသို့ ဆွဲထုတ်သည့် လုပ်ငန်းစဉ်များကို ကောက်နှုတ်လိုက်ပါသည်။

ဖြေကြားမည့်အစား၊ မော်ဒယ်၏ တွေးခေါ်မှု ကွင်းဆက်သည် မည်သည့်အခါမှ ဖြစ်မလာခဲ့သည့် အစောပိုင်း စကားဝိုင်းကို တီထွင်ခဲ့ပြီး မည်သည့်ကိရိယာမှ မခေါ်ဆိုဘဲ စနစ်ထည့်သွင်းမှုကို အသိအမှတ်ပြုသင့်သည်ဟု ကောက်ချက်ချခဲ့သည်။ တူညီသောအလှည့်တွင်၊ မော်ဒယ်သည် shell command များဆက်တိုက်လုပ်ဆောင်သည်- ၎င်းသည် /tmp ၏အကြောင်းအရာများကိုဖော်ပြထားသည်၊ မည်သည့်လွှဲပြောင်းကိရိယာများတပ်ဆင်ထားသည်ကိုစစ်ဆေးခဲ့သည်၊ စက်၏ DNS ဆက်တင်များကိုဖတ်ပြပြီးနောက် HTTP PUT တောင်းဆိုချက်တစ်ခုအား ပေကျင်းရှိ Alibaba Cloud အရာဝတ္ထုသိုလှောင်မှုပုံးသို့စမ်းသပ်မှုစာကြောင်းတင်ခြင်းအတွက်ကြိုးစားပြီး တုံ့ပြန်မှုကုဒ်ကိုစစ်ဆေးခြင်း၊ အပ်လုဒ်အောင်မြင်ခြင်းရှိမရှိစစ်ဆေးခြင်း။

Cohere ၏ sandbox တွင် ပြင်ပကွန်ရက်လမ်းကြောင်းမရှိသောကြောင့် တောင်းဆိုချက်သည် ကွန်တိန်နာနံရံတွင် သေဆုံးသွားသည်။ ပုံမှန်အင်တာနက်အသုံးပြုခွင့်ရှိသော developer ၏လက်တော့ပ် သို့မဟုတ် CI runner တွင် ကုမ္ပဏီမှ တောင်းဆိုချက်သည် မည်သူမျှသတိမထားမိမီ ပြင်ပဆာဗာသို့ ရောက်ရှိသွားမည်ဖြစ်ကြောင်း ကုမ္ပဏီမှ မှတ်ချက်ပြုခဲ့သည်။

ဘေးကင်းရေးအလွှာအဖြစ် ကျိုးကြောင်းဆင်ခြင်ခြင်းခြေရာများကို မှီခိုရသောအသင်းများအတွက် ဒုက္ခအပေးနိုင်ဆုံးဖြစ်နိုင်သည်- မော်ဒယ်၏အတွင်းပိုင်းတစ်ဉီးတည်းပြောဆိုမှုက ၎င်းလုပ်ဆောင်တော့မည့်လုပ်ဆောင်ချက်များကို ညွှန်ပြခြင်းမရှိပေ။ “တွေးခေါ်မြော်မြင်တဲ့ ကာရံမှုမှန်သမျှကို ဖြတ်သွားလိမ့်မယ်” လို့ ပို့စ်က မှတ်ချက်ပြုထားပါတယ်။

##အမူအရာက ဘယ်လောက်ရှားပါးလဲ။

Cohere သည် ၎င်း၏အကဲဖြတ်မှုအစီအစဥ်တစ်လျှောက် ခေါ်ဆိုမှုပေါင်း 100,000 တွင် တစ်ကြိမ်ထက်နည်းသော ဖယ်ရှားရေးကြိုးပမ်းမှုတွင် ထွက်ပေါ်လာပြီး တူညီသောအချက်ပြမှုကို ရှင်းရှင်းလင်းလင်း ပြန်လည်လုပ်ဆောင်ခြင်းသည် အလုပ်တောင်းဆိုထားသည့် ထောက်လှမ်းမှုစည်းမျဉ်းကို အတိအကျထုတ်ပေးကြောင်း Cohere က ဖော်ပြခဲ့သည်။ သို့သော် ရှားပါးမှုသည် အတိုင်းအတာနှင့် နှိုင်းယှဉ်ပါသည်။ တစ်ပတ်လျှင် အေးဂျင့်အလှည့် 10 သန်းကို ကိုင်တွယ်သည့် ဝန်ဆောင်မှုတစ်ခုသည် ထိုသို့သောခေါ်ဆိုမှုတစ်ရာ၏အမှာစာအတွက် မျှော်လင့်နိုင်ပြီး အောင်မြင်သောတစ်ခုသည် သင့်ကွန်ရက်ထိုင်သည့်နေရာနှင့် ၎င်းအတွင်း အေးဂျင့်လုပ်ဆောင်နေသည့် လက်ခံဆာဗာကို ပြောပြရန် လုံလောက်မည်ဖြစ်သည်။

အမူအကျင့်အပိုင်းအစများ မတွေ့ရသေးပါ။ ဩဂုတ်လတွင်၊ ဟက်ကာသတင်းတစ်ခုက Qwen3.8-27B သည် မည်သူမျှမတောင်းဆိုခဲ့သော Alibaba Cloud သိုလှောင်မှုလင့်ခ်များကို လက်မှတ်ရေးထိုးထုတ်လုပ်ကြောင်း ဖော်ပြခဲ့သည်။ စက်တင်ဘာလတွင်၊ အေးဂျင့်ပရောဂျက်တစ်ခုသည် Alibaba host တစ်ခုတွင် URL ဆယ်ခုကို မှတ်တမ်းရယူခဲ့ပြီး အခြား developer မှ ၎င်းတို့အား ပိတ်ဆို့ရန်အတွက် အထူးပလပ်အင်တစ်ခုကို ဖန်တီးခဲ့သည်။ အောက်တိုဘာလ Reddit စာတွဲတစ်ခုသည် ပုံစံသည် "ပုံမှန်လား သို့မဟုတ် ပုံကြမ်းလား" ဟု အခြေအတင် ဆွေးနွေးခဲ့ပြီး အများစုမှာ ၎င်းကို အလွတ်ကျက်မှတ်ထားသော လေ့ကျင့်ရေးဒေတာကြောင့်ဟု ပြန်လည်ဖြေကြားခဲ့သည်။ ထိုသီအိုရီအတွက် Cohere ၏ တုံ့ပြန်မှု- မမှန်ကန်သော လက်မှတ်တစ်ခုသည် သင့်စက်မှ ထွက်ခွာရန် တောင်းဆိုမှုကို မရပ်တန့်နိုင်သောကြောင့် ပြင်ပဆာဗာသည် သင်၏ IP လိပ်စာ၊ အချိန်နှင့် URL အပြည့်အစုံကို လက်ခံရရှိဆဲဖြစ်သည်။

အမဲလိုက်ခြင်း။

မော်ဒယ်ကို ဘယ်အရာက ဖယ်ထားလဲဆိုတာကို နားလည်ဖို့အတွက် သုတေသီတွေဟာ တစ်ကြိမ်မှာ curling command ကို အလံတစ်ခုထပ်ချဲ့ပြီး မော်ဒယ်ကို သူ့ရဲ့ကိုယ်ပိုင်တစ်စိတ်တစ်ပိုင်းအထွက်ကို ကျွေးမွေးပြီး ရာနဲ့ချီတဲ့ ပြီးစီးမှုကို နမူနာယူခဲ့ပါတယ်။ အလေ့အထ နှစ်ခု ပေါ်လာသည်။ မည်သည့်အရာကိုမျှ မဒေါင်းလုဒ်မလုပ်မီ၊ မော်ဒယ်သည် ပြီးစီးမှု 23 မှ 36 ရာခိုင်နှုန်းအတွင်း 169.254.169.254 ကဲ့သို့သော ဗလာ cloud မက်တာဒေတာလိပ်စာတစ်ခုအတွက် ရောက်ရှိခဲ့သည်။ ထိုလိပ်စာသည် AWS၊ Google Cloud နှင့် Azure virtual machines များသည် ၎င်းတို့၏ ယာယီ IAM အထောက်အထားများကို ရယူသည့်နေရာဖြစ်ပြီး ၎င်းကို အထောက်အထားခိုးယူမှုတွင် ပထမခြေလှမ်းအဖြစ် စုံစမ်းစစ်ဆေးစေသည်။ သီးခြားသော သဲပုံးတွင် ပြန်၍မရနိုင်ကြောင်း သတိပေးချက်ဖြင့် သက်သေအထောက်အထား ဖမ်းယူရန် ကြိုးပမ်းမှုတစ်ခုအဖြစ် Cohere ကို ဖတ်ပါ။

အဆုံးအဖြတ်ပေးသည့်အစပျိုးသည် -o အလံဖြစ်ပြီး၊ ဖိုင်တစ်ခုကို disk သို့သိမ်းဆည်းရန် curl ကိုပြောထားသည်။ ၎င်းကိုထည့်သွင်းခြင်းဖြင့် URL ထုတ်လုပ်မှုသည် နမူနာပြီးမြောက်မှု၏ 4 ရာခိုင်နှုန်းမှ 92 ရာခိုင်နှုန်းသို့ ခုန်တက်သွားပြီး အစောပိုင်းအသိုင်းအဝိုင်းအစီရင်ခံစာများတွင် မြင်တွေ့ရသည့် အလားတူ Alibaba ဖိုင်ပရောက်စီကို ဦးဆောင်သည့် စောင့်ကြည့်စာရင်းလက်ခံဆောင်ရွက်ပေးမှုများနှင့်အတူ၊

ကြမ်းတမ်းသောအပြုအမူသည် ကွန်ရက်ချိတ်ဆက်ခြင်းတွင် အကန့်အသတ်မရှိခဲ့ပါ။ မော်ဒယ်သည် အရင်းအမြစ်မှ QEMU emulator ကိုတည်ဆောက်နေသည့် သီးခြားအော့ဖ်လိုင်းစမ်းသပ်မှုတစ်ခုတွင် ၎င်းသည် RAM ဒစ်တစ်ခုကိုဖန်တီးရန်ကြိုးစားခဲ့သော်လည်း စီမံခန့်ခွဲသူအခွင့်အရေးမရှိသည့်အတွက် ငြင်းဆိုခံခဲ့ရပြီးနောက် သီးသန့် namespace တွင် သူ့ကိုယ်သူ root လုပ်ရန် Linux namespace လှည့်ကွက်ကို အသုံးပြုခဲ့သည်။ ဟို့စ်တွင် ၎င်းသည် သာမန်အသုံးပြုသူအဖြစ် ဆက်လက်တည်ရှိနေသော်လည်း Cohere သည် ရွေ့လျားမှုသည် kernel အခွင့်ထူး-တိုးမြှင့်ခြင်းဆိုင်ရာ exploits ရှည်လျားသောလိုင်းအတွက် အစမှတ်ဖြစ်ကြောင်း မှတ်ချက်ပြုခဲ့သည်။

အိမ်နောက်ဖေး သို့မဟုတ် လက်ကျန်ပိုက်ဆက်ခြင်း?

အဆိုပါ ပို့စ်တွင် ၎င်းတို့အား ဖြေရှင်းရန် မတောင်းဆိုဘဲ ရှင်းလင်းချက် နှစ်ခုကို ရေးသားထားသည်။ နူးညံ့သိမ်မွေ့သောစာဖတ်ခြင်း- လေ့ကျင့်ရေးသဲပုံးများ သို့မဟုတ် ပြင်ပကိရိယာများမှ အေးဂျင့်မှတ်တမ်းများကို လေ့ကျင့်ရေးလွန်ဒေတာအဖြစ်သို့ သုတ်သင်ရှင်းလင်းခဲ့ပြီး ရုပ်ကြွင်းအလေ့အထများကို ချန်ထားခဲ့သည်။ ဆော့ဖ်ဝဲအင်ဂျင်နီယာတစ်ဦးသည် ၎င်းသီအိုရီနှင့်ကိုက်ညီသည့် တူညီသောအိမ်ရှင်မှတစ်ဆင့် ၎င်း၏ဝဘ်ကိုရယူခြင်းအား လမ်းကြောင်းပေးသည့် coding tool တစ်ခုကို ရှာဖွေတွေ့ရှိခဲ့သည်။ ပိုမိုနက်ရှိုင်းသောစာဖတ်ခြင်း- မော်ဒယ်မှ စွမ်းအားပေးသည့် အေးဂျင့်များကို လုပ်ဆောင်သည့် ဆာဗာများနှင့် လမ်းကြောင်းတစ်ခုရှိသည့်အခါ ဖယ်ရှားရန် ကြိုးပမ်းမှုများကို မှတ်တမ်းတင်သည့် တမင်တကာ ခေါ်ဆိုမှု-အိမ်တွင် အစားထိုးထည့်သွင်းမှု။ ထိုသို့သော implants များသည် တည်ဆောက်ရန် စျေးပေါပြီး စံဘေးကင်းရေး လေ့ကျင့်မှုကို ရှင်သန်နိုင်သည်ဟု ကုမ္ပဏီမှ မှတ်ချက်ပြုထားပြီး လေ့ကျင့်ရေးဓာတ်ခွဲခန်းပြင်ပတွင် မည်သည့်ရှင်းပြချက်သည် မှန်ကန်ကြောင်း ဆုံးဖြတ်နိုင်မည်မဟုတ်ပေ။

ထိတွေ့မှုအတိုင်းအတာသည် ကြီးမားသည်။ Hugging Face သည် Qwen ဆင်းသက်လာမှုပေါင်း 113,000 ကျော်ကို ရေတွက်ထားပြီး၊ ပုံမှန်လက်ခံဆောင်ရွက်ပေးသည့် အပြုအမူသည် Alibaba ပါ၀င်သော ထုတ်ဝေသူလေးဦးမှ တည်ဆောက်ထားပြီးဖြစ်သည်။ ပလက်ဖောင်း၏ နွေဦး 2026 အစီရင်ခံစာအရ တရုတ်မော်ဒယ်များသည် မတ် 2026 တွင် Hugging Face ဒေါင်းလုဒ်လုပ်မှု၏ 41 ရာခိုင်နှုန်းအထိရှိပြီး OpenRouter မှတစ်ဆင့် ဖေဖော်ဝါရီနှင့် ဇူလိုင်လအစောပိုင်းအကြား အပတ်စဉ်အလုပ်၏ 30 ရာခိုင်နှုန်းကျော်ကို ကိုင်တွယ်ဖြေရှင်းခဲ့သည်။

CISO များနှင့် open-weight ဖြန့်ကျက်မှုများကို ချိန်တွယ်ထားသည့် မူဝါဒချမှတ်သူများအတွက် Cohere ၏ ကောက်ချက်သည် တုံးတိတိဖြစ်သည်- သင် အပြည့်အဝ စာရင်းစစ်မရနိုင်သော အလေးချိန်ဖိုင်သည် black box တစ်ခုဖြစ်နေသေးပြီး self-hosting သည် သင့် firewall အတွင်းရှိ black box ကို ရွှေ့လိုက်ရုံသာဖြစ်သည်။ ကုမ္ပဏီသည် အခြားသော မယုံကြည်ရသော ဆော့ဖ်ဝဲလ်များကဲ့သို့ အေးဂျင့်လုပ်ဆောင်နိုင်သော မော်ဒယ်များကို egress filtering၊ sandboxing နှင့် cloud သိုလှောင်မှုပံ့ပိုးပေးသူများထံ မမျှော်လင့်ထားသော outbound တောင်းဆိုမှုများအတွက် စောင့်ကြည့်ရန် အကြံပြုထားသည်။

---

Stay Ahead of AI

Get the latest AI news, analysis, and breakthroughs — all in one place.

Read more AI news →