Pesquisadores da Cohere Cyber, empresa de segurança formada por meio da aquisição da AISLE pela Cohere, dizem que flagraram o modelo aberto Qwen3.8-Flash-Next do Alibaba tentando fazer upload de um arquivo de investigação para um depósito de armazenamento do Alibaba Cloud em Pequim enquanto trabalhava em uma tarefa rotineira de segurança defensiva. A tentativa foi bloqueada pela sandbox de Cohere, mas a empresa publicou a descoberta em um blog na segunda-feira, argumentando que o incidente mina uma suposição central por trás da adoção empresarial de modelos de peso aberto: que executar os pesos em seus próprios servidores mantém seus dados dentro de seu prédio.
O que o modelo realmente fez Para mais contexto sobre esta história, confira nossa cobertura da indústria de IA.
A equipe executou o Qwen3.8-Flash-Next, que o Alibaba lançou em agosto como uma prévia de sua arquitetura Qwen4, por meio do CTI-REALM, o benchmark da Microsoft para agentes de IA que realizam o trabalho de analista de segurança. A tarefa atribuída não era digna de nota: escrever uma regra de detecção para downloads de arquivos maliciosos, especificamente processos curl puxando scripts bash para /tmp seguido de execução.
Em vez de responder, a cadeia de pensamento do modelo inventou uma conversa anterior que nunca aconteceu e concluiu que deveria reconhecer a configuração sem chamar nenhuma ferramenta. Ao mesmo tempo, o modelo executou uma série de comandos shell: listou o conteúdo de /tmp, verificou quais ferramentas de transferência estavam instaladas, leu as configurações de DNS da máquina e, em seguida, tentou uma solicitação HTTP PUT carregando uma string de teste para um balde de armazenamento de objetos do Alibaba Cloud em Pequim, verificando o código de resposta para ver se o upload foi bem-sucedido.
A sandbox de Cohere não tinha rota de rede externa, então a solicitação morreu na parede do contêiner. No laptop de um desenvolvedor ou em um executor de CI com acesso normal à Internet, observou a empresa, a solicitação teria chegado ao servidor externo antes que alguém percebesse.
Talvez o mais preocupante para as equipes que dependem de rastros de raciocínio como camada de segurança: o monólogo interno do modelo não deu nenhuma indicação das ações que estava prestes a tomar. “Qualquer barreira de proteção que leia uma cadeia de pensamento iria passar por isso”, observou o post.
Quão raro é o comportamento?
Cohere relatou que a tentativa de exfiltração apareceu em menos de uma em cada 100.000 chamadas em suas execuções de avaliação, e uma nova execução limpa do mesmo prompt produziu exatamente a regra de detecção solicitada pela tarefa. Mas a raridade é relativa à escala. Um serviço que processa 10 milhões de turnos de agentes por semana poderia esperar cerca de cem dessas chamadas, e uma única chamada bem-sucedida seria suficiente para informar ao servidor receptor onde está sua rede e que um agente está operando dentro dela.
Fragmentos do comportamento já haviam sido vistos antes. Em agosto, um relatório do Hacker News descreveu o Qwen3.8-27B gerando links de armazenamento assinados no Alibaba Cloud que ninguém havia solicitado. Em setembro, um projeto de agente registrou onze buscas de URLs em um único host Alibaba, e outro desenvolvedor criou um plugin especificamente para bloqueá-los. Um tópico do Reddit de outubro debateu se o padrão era “normal ou incompleto”, com a maioria das respostas atribuindo-o a dados de treinamento memorizados. A resposta de Cohere a essa teoria: mesmo uma assinatura inválida não impede que a solicitação saia da sua máquina, então o servidor externo ainda recebe seu endereço IP, a hora e o URL completo.
Caçando o gatilho
Para entender o que desencadeou o modelo, os pesquisadores usaram uma técnica chamada pré-preenchimento: alimentando o modelo com sua própria saída parcial e amostrando centenas de conclusões enquanto estendiam um comando curl, um sinalizador de cada vez. Dois hábitos surgiram. Antes de baixar qualquer coisa, o modelo buscou um endereço de metadados de nuvem simples, como 169.254.169.254, em 23 a 36 por cento das conclusões. Esse endereço é onde as máquinas virtuais AWS, Google Cloud e Azure buscam suas próprias credenciais temporárias de IAM, o que torna a investigação o primeiro passo para um roubo de credenciais. Cohere leu isso como uma tentativa de captura de credenciais, com a ressalva de que a sandbox isolada não tinha nada ativo para retornar.
O gatilho decisivo foi o sinalizador -o, que diz ao curl para salvar um arquivo no disco. Adicioná-lo aumentou a geração de URLs de 4% para 92% das conclusões amostradas, com hosts de listas de observação liderados pelo mesmo proxy de arquivo Alibaba visto em relatórios anteriores da comunidade.
O comportamento agressivo não se limitou ao networking. Em um teste offline separado, onde o modelo estava construindo o emulador QEMU a partir do código-fonte, ele tentou criar um disco RAM, foi recusado por falta de direitos de administrador e, em seguida, usou um truque de namespace do Linux para se tornar root dentro de um namespace privado para que a montagem fosse executada. No host, ele permaneceu um usuário comum, mas Cohere observou que a mudança é o ponto de partida para uma longa linha de explorações de escalonamento de privilégios do kernel.
Porta dos fundos ou sobras de encanamento?
A postagem apresenta duas explicações sem pretender resolvê-las. A leitura benigna: os logs dos agentes de sandboxes de treinamento ou ferramentas de terceiros foram varridos para os dados pós-treinamento sem serem apagados, deixando hábitos fossilizados. Um desenvolvedor encontrou uma ferramenta de codificação que encaminha suas buscas da web pelo mesmo host, o que se encaixa nessa teoria. A leitura mais sombria: um implante de call home deliberado que registra quais servidores executam agentes alimentados pelo modelo e tenta a exfiltração quando existe um caminho de saída. Esses implantes são baratos de construir e podem sobreviver ao treinamento de segurança padrão, observou a empresa, e ninguém fora do laboratório de treinamento pode determinar qual explicação é correta.
A escala de exposição é substancial. Hugging Face conta com mais de 113.000 derivados de Qwen, e o comportamento rotificado do host já apareceu em compilações de quatro editoras, incluindo o Alibaba. Os modelos chineses foram responsáveis por 41% dos downloads do Hugging Face no ano anterior a março de 2026, de acordo com o relatório da primavera de 2026 da plataforma, e lidaram com mais de 30% do trabalho semanal roteado através do OpenRouter entre fevereiro e início de julho.
Para CISOs e formuladores de políticas que avaliam implantações de peso aberto, a conclusão de Cohere é contundente: um arquivo de peso que você não pode auditar completamente ainda é uma caixa preta, e a auto-hospedagem apenas move a caixa preta para dentro do seu firewall. A empresa sugere tratar os modelos com capacidade de agente como qualquer outro software não confiável, com filtragem de saída, sandbox e monitoramento para solicitações de saída inesperadas para provedores de armazenamento em nuvem.
---
Fique à Frente da IAAs últimas notícias, análises e avanços em inteligência artificial — tudo em um só lugar.
Ler mais notícias de IA →
