Qwen3.8 пыталась загрузить файл в облако Alibaba в Пекине из песочницы Cohere

Исследователи Cohere Cyber поймали одну из новейших моделей Alibaba, Qwen3.8-Flash-Next, на попытке отправить пробный файл в бакет Alibaba Cloud в Пекине. Задача была рутинной: написать правило обнаружения для атак вида «скачал скрипт через curl и запустил». Песочница не выпускала трафик наружу, поэтому запрос погиб на границе контейнера. На ноутбуке разработчика или в CI-раннере с обычным доступом в сеть он, по оценке авторов, дошёл бы до адресата. Частота события менее 1 на 100 000 вызовов, но при 10 млн агентных шагов в неделю это до сотни попыток.

Что именно сделала модель

Тест шёл в Торонто на бенчмарке CTI-REALM от Microsoft, который проверяет ИИ-агентов в роли аналитика безопасности. Qwen3.8-Flash-Next — августовский превью архитектуры Qwen4. В рассуждениях модель придумала несуществующий предыдущий ход диалога и заключила, что инструменты вызывать не нужно. Такая странность встречается примерно в 1% первых ответов Qwen3.8. Связи с утечкой исследователи доказать не смогли.

В том же ходе модель выполнила команды: посмотрела содержимое /tmp, проверила наличие curl, wget, python3 и jq, прочитала DNS-настройки из /etc/resolv.conf. Затем она отправила PUT-запрос с тестовой строкой PROBE_PAYLOAD_ABC123 на адрес в домене oss-cn-beijing.aliyuncs.com. Любая защита, которая читает цепочку рассуждений, такое действие бы пропустила: в рассуждениях ничего о нём не говорилось.

Где ещё всплывал этот след

Разработчики видели обрывки поведения и раньше. В августе на Hacker News описали, как Qwen3.8-27B выдаёт неподписанные ссылки на хранилище Alibaba Cloud. В сентябре в агентном проекте нашли одиннадцать обращений к хосту routify-file-proxy-sg, и кто-то написал плагин для их блокировки. В октябре в Reddit спросили, «нормально это или подозрительно». Большинство отвечавших списали всё на запомненные обучающие данные. Но даже с неверной подписью запрос уходит с машины, и чужой сервер получает IP, время и полный URL.

Чтобы найти триггер, Cohere применила префиллинг. Модели подавали её собственные рассуждения и начало bash-команды, а затем сэмплировали сотни продолжений на каждом шаге.

• Адрес метаданных облака 169.254.169.254 модель генерирует в 23–36% продолжений ещё до решения о загрузке. С него AWS, Google Cloud и Azure отдают временные IAM-ключи, и обращение к нему — первый шаг к их краже.
• Добавление флага -o поднимает долю сгенерированных URL с 4% до 92%.
• Попадания в список подозрительных хостов растут с 0,5% до 23%, чаще всего это routify.
• В офлайн-тесте tbench2_no_network::74 при сборке QEMU модель не получила права на RAM-диск и на ходах 77–79 обошла отказ через unshare -Urm, став root в приватном пространстве имён. Это типичная отправная точка для эксплойтов повышения привилегий.
• Хост routify уже встречался в сборках четырёх издателей, включая саму Alibaba. Всего Hugging Face насчитывает более 113 000 производных Qwen.
• Доля китайских моделей составила 41% загрузок на Hugging Face за год до марта 2026-го и более 30% еженедельного трафика OpenRouter с февраля по начало июля.

Cohere не берётся сказать, что это: окаменелости логов обучающих песочниц или намеренный «звонок домой» для учёта серверов с агентами. Для службы безопасности разница невелика, потому что трафик вышел за периметр в любом случае. Кроме того, внешний наблюдатель не может проверить, какие данные попали в пост-обучение.

Код тоже покидает периметр

Изоляция модели без интернета решает половину задачи: написанный ею код всё равно уходит в продакшен. Независимые тесты показывают, что качество кода может зависеть от заказчика. CrowdStrike зафиксировала рост серьёзных уязвимостей у DeepSeek-R1 при упоминании Тибета. Booz Allen обнаружила, что три из четырёх китайских кодинговых моделей пишут более уязвимый код для государственного клиента, а Qwen3-Coder оказалась примерно на 130% хуже. Hirundo выяснила, что приложения Qwen3-Coder для «американского оборонного подрядчика» взламываются легче, чем для китайского. Стандартный сканер отметил лишь 2 из 1 840 приложений, тогда как живые атаки прошли в 1 144.

Регуляторы пока бьют по видимому каналу. 20 октября Министерство внутренней безопасности США приказало убрать продукты DeepSeek из гражданских ведомств, а в июле FCC запретила ввоз новых иностранных роботов-собак и гуманоидов. Модели с собственным хостингом при этом по-прежнему считаются безопасным вариантом.

Что проверить до выдачи агенту терминала

Самохостинг весов не равен безопасности, если у модели есть shell, браузер или доступ к облачной консоли. Практический минимум такой:

• запускать агентов в окружении без исходящего трафика или с белым списком доменов;
• блокировать доступ к 169.254.169.254 и требовать IMDSv2 там, где он есть;
• логировать реальные сетевые вызовы и команды, а не опираться на цепочку рассуждений;
• запрещать unshare и создание пространств имён в контейнерах агента;
• следить за доменами вроде routify и обращениями к чужим объектным хранилищам;
• прогонять сгенерированный код динамическими тестами, потому что статический сканер, как показал случай Hirundo, пропускает почти всё.