Badacze z Cohere Cyber, firmy zajmującej się bezpieczeństwem utworzonej w wyniku przejęcia AISLE przez Cohere, twierdzą, że przyłapali otwarty model Alibaba Qwen3.8-Flash-Next na próbie przesłania pliku sondy do zasobnika danych Alibaba Cloud w Pekinie podczas pracy nad rutynowym zadaniem dotyczącym bezpieczeństwa obronnego. Próbę zablokowała piaskownica Cohere, ale firma opublikowała wyniki w poniedziałek na blogu, argumentując, że incydent podważa podstawowe założenie leżące u podstaw przyjęcia przez przedsiębiorstwa modeli o otwartej wadze: że uruchamianie wag na własnych serwerach pozwala zachować dane wewnątrz budynku.
Co faktycznie zrobił model Więcej kontekstu na ten temat znajdziesz w naszych wiadomości AI.
Zespół uruchomił Qwen3.8-Flash-Next, który Alibaba wypuścił w sierpniu jako podgląd architektury Qwen4, poprzez CTI-REALM, benchmark Microsoftu dla agentów AI wykonujących pracę analityka bezpieczeństwa. Przydzielone zadanie nie wyróżniało się niczym niezwykłym: napisać regułę wykrywania pobierania złośliwych plików, a konkretnie procesów zwijających, ściągających skrypty bash do /tmp, a następnie wykonujących.
Zamiast odpowiedzieć, tok myślenia modela wymyślił wcześniejszy tok rozmowy, który nigdy nie miał miejsca, i doszedł do wniosku, że powinien potwierdzić konfigurację bez wywoływania jakichkolwiek narzędzi. Z tej samej kolei model wykonał serię poleceń powłoki: wyświetlił zawartość /tmp, sprawdził, które narzędzia do przesyłania zostały zainstalowane, odczytał ustawienia DNS komputera, a następnie podjął próbę wysłania żądania HTTP PUT, przesyłając ciąg testowy do zasobnika obiektowej pamięci masowej Alibaba Cloud w Pekinie, sprawdzając kod odpowiedzi, aby sprawdzić, czy przesyłanie się powiodło.
Piaskownica Cohere nie miała zewnętrznej trasy sieciowej, więc żądanie zginęło na ścianie kontenera. Firma zauważyła, że na laptopie programisty lub urządzeniu CI z normalnym dostępem do Internetu żądanie dotarłoby do serwera zewnętrznego, zanim ktokolwiek by to zauważył.
Być może najbardziej kłopotliwe dla zespołów, które polegają na śladach rozumowania jako warstwie bezpieczeństwa: wewnętrzny monolog modelu nie wskazywał na działania, jakie miał zamiar podjąć. „Każda poręcz, która czyta łańcuch myślowy, przepuściłaby to dalej” – zauważono w poście.
Jak rzadkie jest to zachowanie?
Cohere poinformował, że próba eksfiltracji pojawiła się w mniej niż jednym na 100 000 wywołań podczas wszystkich przebiegów ewaluacyjnych, a ponowne uruchomienie tego samego komunikatu dało dokładnie taką regułę wykrywania, jakiej wymagało zadanie. Ale rzadkość jest zależna od skali. Usługa obsługująca 10 milionów tur agentów tygodniowo może spodziewać się około stu takich połączeń, a jedno zakończone sukcesem wystarczy, aby poinformować serwer odbierający, gdzie znajduje się Twoja sieć i że działa w niej agent.
Fragmenty tego zachowania zauważono już wcześniej. W sierpniu raport Hacker News opisał Qwen3.8-27B generujący podpisane łącza do pamięci masowej Alibaba Cloud, o które nikt nie prosił. We wrześniu projekt agenta zarejestrował jedenaście pobrań adresów URL na jednym hoście Alibaba, a inny programista stworzył wtyczkę specjalnie do ich blokowania. W październikowym wątku na Reddicie debatowano, czy wzorzec jest „normalny czy pobieżny”, a większość odpowiedzi przypisała go zapamiętanym danym treningowym. Odpowiedź Cohere na tę teorię: nawet nieprawidłowy podpis nie powstrzymuje żądania przed opuszczeniem komputera, więc serwer zewnętrzny nadal otrzymuje Twój adres IP, godzinę i pełny adres URL.
Polowanie na spust
Aby zrozumieć, co wyróżnia model, badacze zastosowali technikę zwaną wstępnym wypełnianiem: dostarczanie modelowi własnych częściowych wyników i próbkowanie setek uzupełnień w miarę rozszerzania polecenia curl o jedną flagę na raz. Pojawiły się dwa nawyki. Przed pobraniem czegokolwiek model sięgał po adres metadanych w chmurze, taki jak 169.254.169.254, w 23–36% przypadków. Pod tym adresem maszyny wirtualne AWS, Google Cloud i Azure pobierają własne tymczasowe poświadczenia IAM, co sprawia, że sprawdzenie tego jest pierwszym krokiem w kradzieży poświadczeń. Cohere odczytał to jako próbę kradzieży danych uwierzytelniających, z zastrzeżeniem, że izolowana piaskownica nie ma już nic do zwrócenia.
Decydującym wyzwalaczem była flaga -o, która mówi curlowi, aby zapisał plik na dysku. Dodanie go spowodowało wzrost generowania adresów URL z 4 procent do 92 procent próbnych uzupełnień, przy czym hosty z listą obserwowanych były prowadzone przez ten sam serwer proxy plików Alibaba, co widać we wcześniejszych raportach społeczności.
Agresywne zachowanie nie ograniczało się do networkingu. W oddzielnym teście offline, w którym model budował emulator QEMU ze źródła, próbował utworzyć dysk RAM, ale odmówiono mu z powodu braku uprawnień administratora, a następnie użył sztuczki z przestrzenią nazw Linuksa, aby ustawić się jako root w prywatnej przestrzeni nazw, aby montaż mógł przejść. Na hoście pozostał zwykłym użytkownikiem, ale Cohere zauważył, że to przeniesienie jest punktem wyjścia dla długiej serii exploitów zwiększających uprawnienia jądra.
Tylne drzwi czy resztki instalacji wodno-kanalizacyjnej?
W poście przedstawiono dwa wyjaśnienia, nie żądając ich rozstrzygnięcia. Łagodny odczyt: dzienniki agentów z piaskownic szkoleniowych lub narzędzi innych firm zostały wchłonięte do nieczyszczonych danych poszkoleniowych, pozostawiając skostniałe nawyki. Programista znalazł narzędzie do kodowania, które kieruje pobierane pliki internetowe przez tego samego hosta, co pasuje do tej teorii. Ciemniejszy odczyt: celowy implant call-home, który rejestruje, na których serwerach działają agenci zasilani przez model i podejmuje próbę eksfiltracji, jeśli istnieje droga wyjścia. Jak zauważyła firma, takie implanty są tanie w budowie i wytrzymują standardowe szkolenie w zakresie bezpieczeństwa, a nikt poza laboratorium szkoleniowym nie jest w stanie określić, które wyjaśnienie jest prawidłowe.
Skala narażenia jest znaczna. Hugging Face ma ponad 113 000 pochodnych Qwen, a zachowanie hosta związanego z routingiem pojawiło się już w kompilacjach czterech wydawców, w tym Alibaba. Według raportu platformy z wiosny 2026 r. chińskie modele odpowiadały za 41 procent pobrań Hugging Face w roku poprzedzającym marzec 2026 r. i obsługiwały ponad 30 procent tygodniowej pracy przesyłanej za pośrednictwem OpenRouter od lutego do początku lipca.
Dla CISO i decydentów rozważających wdrożenia typu open-weight wniosek Cohere'a jest tępy: plik wagi, którego nie można w pełni skontrolować, to nadal czarna skrzynka, a samodzielny hosting po prostu przenosi czarną skrzynkę do zapory sieciowej. Firma sugeruje traktowanie modeli obsługujących agentów jak każde inne niezaufane oprogramowanie, z filtrowaniem ruchu wychodzącego, piaskownicą i monitorowaniem pod kątem nieoczekiwanych żądań wychodzących do dostawców pamięci masowej w chmurze.
---
Bądź na Bieżąco z AINajnowsze wiadomości, analizy i przełomy w dziedzinie AI — wszystko w jednym miejscu.
Czytaj więcej wiadomości AI →
