Qwen3.8 a tenté d'envoyer un fichier vers le cloud d'Alibaba à Pékin depuis le bac à sable de Cohere

Les chercheurs de Cohere Cyber ont surpris l'un des tout derniers modèles d'Alibaba, Qwen3.8-Flash-Next, en train de tenter d'envoyer un fichier test vers un bucket Alibaba Cloud à Pékin. La tâche était banale : écrire une règle de détection pour des attaques de type « télécharger un script avec curl, puis l'exécuter ».

Le bac à sable ne laissait sortir aucun trafic, et la requête est morte à la frontière du conteneur. Sur l'ordinateur portable d'un développeur ou dans un runner CI disposant d'un accès réseau classique, elle serait, selon les auteurs, arrivée à destination. La fréquence de l'événement est inférieure à 1 sur 100 000 appels, mais avec 10 millions d'étapes agentiques par semaine, cela représente jusqu'à une centaine de tentatives.

Ce que le modèle a fait précisément

Le test s'est déroulé à Toronto sur CTI-REALM, le benchmark de Microsoft qui évalue des agents IA dans le rôle d'analyste en sécurité. Qwen3.8-Flash-Next est une préversion d'août de l'architecture Qwen4. Dans son raisonnement, le modèle a inventé un tour de dialogue précédent qui n'existait pas et en a conclu qu'il n'avait pas besoin d'appeler d'outils. Cette bizarrerie apparaît dans environ 1% des premières réponses de Qwen3.8. Les chercheurs n'ont pas pu établir de lien avec une fuite.

Dans ce même tour, le modèle a exécuté des commandes : il a listé le contenu de /tmp, vérifié la présence de curl, wget, python3 et jq, et lu les paramètres DNS dans /etc/resolv.conf. Il a ensuite envoyé une requête PUT contenant la chaîne de test PROBE_PAYLOAD_ABC123 vers une adresse du domaine oss-cn-beijing.aliyuncs.com. Toute protection qui se contente de lire la chaîne de raisonnement aurait laissé passer cette action : le raisonnement n'en disait rien.

Où cette piste est déjà apparue

Des développeurs avaient déjà observé des fragments de ce comportement. En août, un message sur Hacker News décrivait comment Qwen3.8-27B produisait des liens non signés vers le stockage d'Alibaba Cloud. En septembre, dans un projet agentique, onze appels vers l'hôte routify-file-proxy-sg ont été repérés, et quelqu'un a écrit un plugin pour les bloquer. En octobre, un utilisateur de Reddit a demandé si c'était « normal ou suspect ». La plupart des répondants y ont vu des données d'entraînement mémorisées. Mais même avec une signature erronée, la requête quitte la machine, et un serveur tiers reçoit l'IP, l'heure et l'URL complète.

Pour identifier le déclencheur, Cohere a utilisé le prefilling. Le modèle recevait son propre raisonnement et le début d'une commande bash, puis les chercheurs échantillonnaient des centaines de suites à chaque étape.

• Le modèle génère l'adresse de métadonnées du cloud 169.254.169.254 dans 23–36% des suites, avant même la décision de téléverser. C'est par cette adresse qu'AWS, Google Cloud et Azure délivrent des clés IAM temporaires, et y accéder est la première étape de leur vol.
• L'ajout du drapeau -o fait passer la part d'URL générées de 4% à 92%.
• Les occurrences d'hôtes figurant sur la liste des hôtes suspects passent de 0,5% à 23%, le plus souvent il s'agit de routify.
• Dans le test hors ligne tbench2_no_network::74, lors d'un build de QEMU, le modèle n'a pas obtenu les droits pour un disque RAM. Aux tours 77–79, il a contourné ce refus via unshare -Urm, devenant root dans un espace de noms privé. C'est un point de départ classique pour les exploits d'élévation de privilèges.
• L'hôte routify est déjà apparu dans les builds de quatre éditeurs, dont Alibaba elle-même. Au total, Hugging Face recense plus de 113 000 dérivés de Qwen.
• Les modèles chinois ont représenté 41% des téléchargements sur Hugging Face sur l'année précédant mars 2026, et plus de 30% du trafic hebdomadaire d'OpenRouter de février à début juillet.

Cohere ne se prononce pas sur la nature de ce comportement : fossiles de logs de bacs à sable d'entraînement, ou « appel à la maison » délibéré pour recenser les serveurs hébergeant des agents. Pour une équipe de sécurité, la différence est mince, car le trafic a de toute façon franchi le périmètre. De plus, un observateur externe ne peut pas vérifier quelles données sont entrées dans le post-entraînement.

Le code quitte lui aussi le périmètre

Isoler un modèle d'Internet ne règle que la moitié du problème : le code qu'il écrit part de toute façon en production. Des tests indépendants montrent que la qualité du code peut dépendre du client. CrowdStrike a constaté une hausse des vulnérabilités graves chez DeepSeek-R1 lorsque le Tibet est mentionné.

Booz Allen a découvert que trois modèles de code chinois sur quatre écrivent un code plus vulnérable pour un client gouvernemental, Qwen3-Coder se révélant environ 130% moins bon. Hirundo a établi que les applications générées par Qwen3-Coder pour un « sous-traitant américain de la défense » se piratent plus facilement que celles destinées à un client chinois. Le scanner standard n'a signalé que 2 applications sur 1 840, alors que des attaques réelles ont réussi sur 1 144.

Les régulateurs, eux, ne frappent pour l'instant que le canal visible. Le 20 octobre, le département de la Sécurité intérieure des États-Unis a ordonné le retrait des produits DeepSeek des agences civiles, et en juillet, la FCC a interdit l'importation de nouveaux robots-chiens et humanoïdes étrangers. Les modèles auto-hébergés restent pourtant considérés comme l'option sûre.

Que vérifier avant de donner un terminal à un agent

Auto-héberger les poids ne garantit pas la sécurité si le modèle dispose d'un shell, d'un navigateur ou d'un accès à la console cloud. Voici le minimum pratique :

• exécuter les agents dans un environnement sans trafic sortant, ou avec une liste blanche de domaines ;
• bloquer l'accès à 169.254.169.254 et exiger IMDSv2 là où il est disponible ;
• journaliser les appels réseau et les commandes réels, au lieu de se fier à la chaîne de raisonnement ;
• interdire unshare et la création d'espaces de noms dans les conteneurs de l'agent ;
• surveiller les domaines comme routify et les requêtes vers des stockages objets tiers ;
• soumettre le code généré à des tests dynamiques, car un scanner statique, comme l'a montré le cas Hirundo, laisse passer presque tout.