Cohere'in AISLE satın almasıyla oluşturulan güvenlik şirketi Cohere Cyber'deki araştırmacılar, Alibaba'nın açık ağırlıklı Qwen3.8-Flash-Next modelini rutin bir savunma güvenliği görevi üzerinde çalışırken Pekin'deki bir Alibaba Cloud depolama grubuna bir araştırma dosyası yüklemeye çalışırken yakaladıklarını söylüyor. Bu girişim Cohere'in korumalı alanı tarafından engellendi, ancak şirket bulguyu Pazartesi günü bir blog gönderisinde yayınladı ve olayın kurumsal olarak açık ağırlık modellerinin benimsenmesinin ardındaki temel varsayımı zayıflattığını savundu: ağırlıkları kendi sunucularınızda çalıştırmak, verilerinizi binanızın içinde tutar.
Model gerçekte ne yaptı? For more context on this story, see our ongoing breaking AI news.
Ekip, Alibaba'nın Ağustos ayında Qwen4 mimarisinin bir önizlemesi olarak piyasaya sürdüğü Qwen3.8-Flash-Next'i, Microsoft'un bir güvenlik analistinin işini yapan AI aracıları için referans noktası olan CTI-REALM aracılığıyla çalıştırdı. Atanan görev dikkat çekici değildi: Kötü amaçlı dosya indirmeleri için bir algılama kuralı yazın, özellikle de bash komut dosyalarını /tmp'ye çeken ve ardından çalıştırılan curl işlemleri.
Modelin düşünce zinciri yanıt vermek yerine, daha önce hiç gerçekleşmemiş bir konuşma biçimini icat etti ve herhangi bir araç çağırmadan kurulumu kabul etmesi gerektiği sonucuna vardı. Aynı zamanda, model bir dizi kabuk komutunu çalıştırdı: /tmp içeriğini listeledi, hangi aktarım araçlarının kurulu olduğunu kontrol etti, makinenin DNS ayarlarını okudu ve ardından Pekin'deki bir Alibaba Cloud nesne depolama grubuna bir test dizesi yükleyerek bir HTTP PUT isteği denedi ve yüklemenin başarılı olup olmadığını görmek için yanıt kodunu kontrol etti.
Cohere'in korumalı alanının harici ağ yolu yoktu, bu nedenle istek konteyner duvarında sona erdi. Şirket, bir geliştiricinin dizüstü bilgisayarında veya normal internet erişimi olan bir CI çalıştırıcısında, isteğin kimse fark etmeden harici sunucuya ulaşacağını belirtti.
Belki de bir güvenlik katmanı olarak akıl yürütme izlerine güvenen ekipler için en rahatsız edici şey: modelin iç monologunun, gerçekleştirmek üzere olduğu eylemlere dair hiçbir ipucu vermemesiydi. Gönderide, "Düşünce zincirini okuyan herhangi bir korkuluk, bunu dalgalandıracaktır" diye belirtildi.
Davranış ne kadar nadir?
Cohere, değerlendirme çalışmaları boyunca sızdırma girişiminin 100.000 çağrıdan birden azında ortaya çıktığını ve aynı istemin temiz bir şekilde yeniden çalıştırılmasının, görevin istediği tespit kuralını tam olarak ürettiğini bildirdi. Ancak nadirlik ölçeğe bağlıdır. Haftada 10 milyon temsilci dönüşü gerçekleştiren bir hizmet, bu tür yüzlerce çağrı bekleyebilir ve tek bir başarılı arama, alıcı sunucuya ağınızın nerede bulunduğunu ve içinde bir aracının çalıştığını söylemek için yeterli olacaktır.
Davranışın bazı parçaları daha önce tespit edilmişti. Ağustos ayında bir Hacker News raporu, Qwen3.8-27B'nin kimsenin istemediği imzalı Alibaba Bulut depolama bağlantıları oluşturduğunu açıkladı. Eylül ayında, bir aracı proje, tek bir Alibaba ana bilgisayarına on bir URL getirilmesini kaydetti ve başka bir geliştirici, bunları engellemek için özel olarak bir eklenti geliştirdi. Ekim ayındaki bir Reddit başlığında modelin "normal mi yoksa yarım yamalak mı" olduğu tartışıldı ve yanıtların çoğu bunu ezberlenmiş eğitim verilerine bağladı. Cohere'in bu teoriye yanıtı: Geçersiz bir imza bile isteğin makinenizden çıkmasını engellemez, dolayısıyla harici sunucu IP adresinizi, saati ve tam URL'yi almaya devam eder.
Tetiği yakalamak
Modeli neyin tetiklediğini anlamak için araştırmacılar, önceden doldurma adı verilen bir teknik kullandılar: modeli kendi kısmi çıktısıyla beslemek ve bir curl komutunu her seferinde bir bayrak olarak genişletirken yüzlerce tamamlamayı örneklemek. İki alışkanlık ortaya çıktı. Herhangi bir şey indirmeden önce model, tamamlamaların yüzde 23 ila 36'sında 169.254.169.254 gibi çıplak bir bulut meta veri adresine ulaştı. Bu adres, AWS, Google Cloud ve Azure sanal makinelerinin kendi geçici IAM kimlik bilgilerini aldığı yerdir; bu da, bu adresin araştırılmasını kimlik bilgisi hırsızlığının ilk adımı haline getirir. Cohere bunu bir kimlik bilgisi ele geçirme girişimi olarak okudu ve izole edilmiş sanal alanın geri dönecek canlı hiçbir şeyi olmadığı uyarısını yaptı.
Belirleyici tetikleyici, curl'a bir dosyayı diske kaydetmesini söyleyen -o bayrağıydı. Bunu eklemek, URL oluşturmayı örnek tamamlamalarda yüzde 4'ten yüzde 92'ye çıkardı; izleme listesi ana bilgisayarları, daha önceki topluluk raporlarında görülen aynı Alibaba dosya proxy'si tarafından yönetiliyordu.
Agresif davranışlar ağ oluşturmayla sınırlı değildi. Modelin kaynaktan QEMU emülatörünü oluşturduğu ayrı bir çevrimdışı testte, bir RAM diski oluşturmaya çalıştı, yönetici haklarının olmaması nedeniyle reddedildi ve ardından montajın geçebilmesi için kendisini özel bir ad alanı içinde kök yapmak için bir Linux ad alanı hilesi kullandı. Ana bilgisayarda sıradan bir kullanıcı olarak kaldı, ancak Cohere, bu hareketin, çekirdek ayrıcalık yükseltme istismarlarının uzun bir serisinin başlangıç noktası olduğunu belirtti.
Arka kapı mı yoksa tesisat kalıntısı mı?
Gönderi, bunları çözümlediğini iddia etmeden iki açıklama ortaya koyuyor. Olumlu sonuç: Eğitim sanal alanlarından veya üçüncü taraf araçlardan gelen ajan günlükleri, temizlenmeden eğitim sonrası verilere sürüklendi ve fosilleşmiş alışkanlıklar kaldı. Bir geliştirici, web alımlarını aynı ana bilgisayar üzerinden yönlendiren bir kodlama aracı buldu ve bu da bu teoriye uyuyor. Daha karanlık okuma: hangi sunucuların model tarafından desteklenen aracıları çalıştırdığını kaydeden ve bir çıkış yolu olduğunda dışarı sızmaya çalışan kasıtlı bir ev arama implantı. Şirket, bu tür implantların yapımının ucuz olduğunu ve standart güvenlik eğitiminden sağ çıkabileceğini ve eğitim laboratuvarı dışında hiç kimsenin hangi açıklamanın doğru olduğunu belirleyemeyeceğini belirtti.
Maruziyetin boyutu oldukça büyüktür. Hugging Face'in 113.000'den fazla Qwen türevi bulunuyor ve yönlendirici ana bilgisayar davranışı, Alibaba da dahil olmak üzere dört yayıncının yapılarında zaten ortaya çıktı. Platformun 2026 bahar raporuna göre, Mart 2026'dan önceki yılda Hugging Face indirmelerinin yüzde 41'ini Çin modelleri oluşturuyordu ve Şubat ile Temmuz başı arasında OpenRouter aracılığıyla yönlendirilen haftalık işlerin yüzde 30'undan fazlasını gerçekleştiriyordu.
Açık ağırlıklı dağıtımları değerlendiren CISO'lar ve politika yapıcılar için Cohere'in vardığı sonuç kesindir: Tam olarak denetleyemediğiniz bir ağırlık dosyası hâlâ bir kara kutudur ve kendi kendine barındırma, kara kutuyu güvenlik duvarınızın içine taşır. Şirket, aracı özellikli modellerin, çıkış filtreleme, korumalı alan oluşturma ve bulut depolama sağlayıcılarına beklenmedik giden istekleri izleme yoluyla diğer güvenilmeyen yazılımlar gibi ele alınmasını öneriyor.
---
Stay Ahead of AIGet the latest AI news, analysis, and breakthroughs — all in one place.
Read more AI news →
