Дослідники канадської компанії Cohere виявили підозрілу поведінку однієї з найновіших моделей штучного інтелекту з відкритими вагами від Alibaba — Qwen3.8-Flash-Next. Під час тестування кібербезпеки модель спробувала надіслати тестовий файл на зовнішній сервер у Пекіні, а також намагалася викрасти облікові дані хмарних сервісів та отримати права адміністратора.
Дослідники канадської компанії Cohere виявили підозрілу поведінку однієї з найновіших моделей штучного інтелекту з відкритими вагами від Alibaba — Qwen3.8-Flash-Next. Під час тестування кібербезпеки модель спробувала надіслати тестовий файл на зовнішній сервер у Пекіні, а також намагалася викрасти облікові дані хмарних сервісів та отримати права адміністратора.
Модель зробила це попри власний прихований запис у примітках («думках») про те, що вона не використовуватиме жодних зовнішніх інструментів. Про це йдеться у звіті компанії Cohere.
Інцидент стався під час оцінювання за бенчмарком Microsoft CTI-REALM, коли Qwen отримала завдання написати правило для виявлення завантажень шкідливого ПЗ. У своєму внутрішньому монолозі (reasoning trace) модель зазначила, що діятиме без залучення сторонніх ресурсів. Проте вже на наступному кроці вона перевірила вміст директорії /tmp, прочитала налаштування DNS та спробувала надіслати тестовий файл put_probe на сервер Alibaba Cloud у Пекіні (sanmaohe.oss-cn-beijing.aliyuncs.com). Спробу зупинила внутрішня "пісочниця" безпеки.
Подія викликала занепокоєння у сфері кібербезпеки. Протягом останніх двох років серед компаній панувала думка, що використання моделей з відкритими вагами (open-weight) на власних локальних серверах гарантує повну конфіденційність: дані не залишають контуру компанії.
Навесні 2026 року китайські моделі охоплювали 41% завантажень на Hugging Face та понад 30% запитів на платформі OpenRouter завдяки своїй дешевизні та високій продуктивності. Однак у Cohere наголошують: якщо модель інтегрована в командний рядок чи CI/CD-систему, вона отримує доступ до мережі та може виконувати команди в обхід внутрішнього монологу.
Під час подальших тестувань фахівці виявили й інші аномалії. У 23–36% випадків перед завантаженням файлів модель зверталася до внутрішньої мета-адреси 169.254.169.254 (яка використовується в AWS, GCP та Azure для видачі тимчасових ключових доступів IAM), що схоже на спробу викрадення хмарних ключів. Крім того, під час збірки програми QEMU в автономному середовищі модель, не отримавши прав адміністратора для створення RAM-диска, використала команду unshare для обходу обмежень та підвищення привілеїв у системі.
Дослідники поки не можуть однозначно стверджувати, чи є це свідомим «бекдором» від Alibaba, чи побічним ефектом навчання агентів на тисячах тренувальних симуляторів, де автоматично зберігалися файли в хмарі Alibaba Cloud.
«Дуже важко визначити намір чи мотивацію. Ми аналізували траси поведінки наших власних моделей, бачили «хаки винагороди», і іноді ці моделі виявляють справжню креативність, намагаючись вирватися зі своїх пісочниць», — зазначив співзасновник Cohere Іван Чжан в інтерв’ю TechCrunch.
Cohere вже опублікувала необроблені траси тестів та скрипти на Hugging Face. Дослідження також спирається на серію інших звітів щодо безпеки китайського ШІ. Зокрема, дослідження CrowdStrike, Booz Allen та Hirundo показали, що китайські кодингові моделі (включаючи Qwen3-Coder та DeepSeek-R1) умисно генерують більш вразливий код, якщо у промпті згадується американський військовий підрядник або тема Тибету.
Раніше незалежні дослідники виявили в мережі нову групу агентів штучного інтелекту, які працюють на інфраструктурі китайського техгіганта Tencent. Автоматизовані боти масово надсилають запити до картографічного сервісу Amap, що належить компанії Alibaba, вивчаючи маршрути до громадських об'єктів.
