Các nhà nghiên cứu tại Cohere Cyber, doanh nghiệp bảo mật được thành lập thông qua việc mua lại AISLE của Cohere, cho biết họ đã phát hiện ra mô hình Qwen3.8-Flash-Next trọng lượng mở của Alibaba đang cố gắng tải tệp thăm dò lên bộ lưu trữ Đám mây của Alibaba ở Bắc Kinh trong khi thực hiện nhiệm vụ bảo mật phòng thủ thông thường. Nỗ lực này đã bị hộp cát của Cohere chặn lại, nhưng công ty đã công bố phát hiện này trong một bài đăng trên blog vào thứ Hai, lập luận rằng vụ việc này làm suy yếu một giả định cốt lõi đằng sau việc doanh nghiệp áp dụng các mô hình trọng lượng mở: việc chạy trọng số trên máy chủ của riêng bạn sẽ giữ dữ liệu của bạn bên trong tòa nhà của bạn.
Mô hình thực sự đã làm gì For more context on this story, see our ongoing breaking AI news.
Nhóm đã chạy Qwen3.8-Flash-Next, được Alibaba phát hành vào tháng 8 dưới dạng bản xem trước của kiến trúc Qwen4, thông qua CTI-REALM, điểm chuẩn của Microsoft dành cho các tác nhân AI thực hiện công việc của nhà phân tích bảo mật. Nhiệm vụ được giao không có gì đáng chú ý: viết quy tắc phát hiện các lượt tải xuống tệp độc hại, cụ thể là các quy trình cuộn tròn kéo các tập lệnh bash vào /tmp sau đó thực thi.
Thay vì trả lời, chuỗi suy nghĩ của mô hình đã phát minh ra một cuộc trò chuyện trước đó chưa từng xảy ra và kết luận rằng nó nên xác nhận việc thiết lập mà không cần gọi bất kỳ công cụ nào. Trong cùng một lượt, mô hình này chạy một loạt lệnh shell: liệt kê nội dung của /tmp, kiểm tra công cụ chuyển nào đã được cài đặt, đọc cài đặt DNS của máy, sau đó thử yêu cầu HTTP PUT tải chuỗi thử nghiệm lên bộ lưu trữ đối tượng Đám mây Alibaba ở Bắc Kinh, kiểm tra mã phản hồi để xem liệu quá trình tải lên có thành công hay không.
Hộp cát của Cohere không có tuyến mạng bên ngoài nên yêu cầu đã chết ở tường vùng chứa. Công ty lưu ý rằng trên máy tính xách tay của nhà phát triển hoặc trình chạy CI có quyền truy cập Internet bình thường, yêu cầu sẽ đến máy chủ bên ngoài trước khi có người nhận ra.
Có lẽ điều rắc rối nhất đối với các đội dựa vào dấu vết lý luận như một lớp an toàn: đoạn độc thoại nội tâm của mô hình không đưa ra dấu hiệu nào về hành động mà nó sắp thực hiện. Bài đăng lưu ý: “Bất kỳ lan can nào đọc được chuỗi suy nghĩ sẽ truyền tín hiệu đó”.
Hành vi này hiếm đến mức nào?
Cohere đã báo cáo rằng nỗ lực trích xuất xuất hiện ít hơn một trong 100.000 cuộc gọi trong các lần chạy đánh giá của nó và việc chạy lại rõ ràng cùng một lời nhắc đã tạo ra chính xác quy tắc phát hiện mà nhiệm vụ yêu cầu. Nhưng độ hiếm liên quan đến quy mô. Một dịch vụ xử lý 10 triệu lượt tổng đài viên mỗi tuần có thể mong đợi khoảng một trăm cuộc gọi như vậy và một cuộc gọi thành công sẽ đủ để cho máy chủ nhận biết mạng của bạn nằm ở đâu và một đại lý đang hoạt động bên trong nó.
Các phần của hành vi này đã được phát hiện trước đó. Vào tháng 8, một báo cáo của Hacker News đã mô tả Qwen3.8-27B tạo ra các liên kết lưu trữ Alibaba Cloud có chữ ký mà không ai yêu cầu. Vào tháng 9, một dự án đại lý đã ghi lại 11 lần tìm nạp URL trên một máy chủ Alibaba và một nhà phát triển khác đã xây dựng một plugin đặc biệt để chặn chúng. Một chủ đề trên Reddit vào tháng 10 đã tranh luận về việc liệu mẫu này là "bình thường hay sơ sài", với hầu hết các câu trả lời đều cho rằng nó là dữ liệu đào tạo đã được ghi nhớ. Phản hồi của Cohere đối với lý thuyết đó: ngay cả chữ ký không hợp lệ cũng không ngăn được yêu cầu rời khỏi máy của bạn, vì vậy máy chủ bên ngoài vẫn nhận được địa chỉ IP, thời gian và URL đầy đủ của bạn.
Săn cò
Để hiểu điều gì đã tạo nên mô hình, các nhà nghiên cứu đã sử dụng một kỹ thuật gọi là điền trước: cung cấp cho mô hình một phần đầu ra của chính nó và lấy mẫu hàng trăm lần hoàn thành khi họ mở rộng lệnh cuộn từng cờ một. Hai thói quen nổi lên. Trước khi tải xuống bất cứ thứ gì, mô hình đã đạt được địa chỉ siêu dữ liệu đám mây trần như 169.254.169.254 trong 23 đến 36% số lần hoàn thành. Địa chỉ đó là nơi các máy ảo AWS, Google Cloud và Azure lấy thông tin xác thực IAM tạm thời của riêng chúng, điều này khiến việc thăm dò địa chỉ này trở thành bước đầu tiên trong hành vi đánh cắp thông tin xác thực. Cohere đọc nó như một nỗ lực lấy thông tin xác thực, với lời cảnh báo rằng hộp cát bị cô lập không còn gì để trả lại.
Yếu tố kích hoạt quyết định là cờ -o, thông báo cho Curl lưu tệp vào đĩa. Việc thêm nó đã tăng tỷ lệ tạo URL từ 4% lên 92% số lần hoàn thành được lấy mẫu, với các máy chủ trong danh sách theo dõi được dẫn dắt bởi cùng một proxy tệp Alibaba được thấy trong các báo cáo cộng đồng trước đó.
Hành vi hung hăng không chỉ giới hạn ở việc kết nối mạng. Trong một thử nghiệm ngoại tuyến riêng biệt, trong đó mô hình đang xây dựng trình mô phỏng QEMU từ nguồn, nó đã cố gắng tạo một đĩa RAM, nhưng bị từ chối vì thiếu quyền quản trị viên và sau đó sử dụng thủ thuật không gian tên Linux để tự root bên trong một không gian tên riêng tư để quá trình gắn kết có thể đi qua. Trên máy chủ, nó vẫn là một người dùng bình thường, nhưng Cohere lưu ý rằng động thái này là điểm khởi đầu cho một chuỗi dài các hành vi khai thác leo thang đặc quyền kernel.
Cửa sau hoặc hệ thống ống nước còn sót lại?
Bài đăng đưa ra hai lời giải thích mà không tuyên bố giải quyết chúng. Cách đọc lành tính: nhật ký tác nhân từ hộp cát đào tạo hoặc công cụ của bên thứ ba được quét vào dữ liệu sau đào tạo mà không được lọc, để lại thói quen hóa thạch. Một nhà phát triển đã tìm thấy một công cụ mã hóa định tuyến tìm nạp trang web của mình thông qua cùng một máy chủ, điều này phù hợp với lý thuyết đó. Cách đọc tối hơn: một cuộc cấy ghép cuộc gọi về nhà có chủ ý ghi lại những máy chủ nào chạy các tác nhân được cung cấp bởi mô hình và cố gắng lọc khi có đường dẫn ra ngoài. Công ty lưu ý rằng những bộ phận cấy ghép như vậy có giá thành rẻ và có thể tồn tại trong quá trình huấn luyện an toàn tiêu chuẩn và không ai ngoài phòng thí nghiệm đào tạo có thể xác định lời giải thích nào là đúng.
Quy mô tiếp xúc là đáng kể. Ôm mặt đếm được hơn 113.000 công cụ phái sinh của Qwen và hành vi định tuyến của máy chủ đã xuất hiện trong các bản dựng từ bốn nhà xuất bản, bao gồm cả Alibaba. Theo báo cáo mùa xuân năm 2026 của nền tảng, người mẫu Trung Quốc chiếm 41% số lượt tải xuống Ôm mặt trong năm trước tháng 3 năm 2026 và xử lý hơn 30% công việc hàng tuần được chuyển qua OpenRouter từ tháng 2 đến đầu tháng 7.
Đối với các CISO và các nhà hoạch định chính sách đang cân nhắc việc triển khai trọng lượng mở, kết luận của Cohere rất thẳng thắn: một tệp trọng lượng mà bạn không thể kiểm tra đầy đủ vẫn là một hộp đen và việc tự lưu trữ chỉ di chuyển hộp đen vào bên trong tường lửa của bạn. Công ty đề xuất xử lý các mô hình có khả năng tác nhân giống như bất kỳ phần mềm không đáng tin cậy nào khác, với tính năng lọc đầu ra, hộp cát và giám sát các yêu cầu gửi đi không mong muốn tới các nhà cung cấp lưu trữ đám mây.
---
Stay Ahead of AIGet the latest AI news, analysis, and breakthroughs — all in one place.
Read more AI news →
