شرکت Cohere روز ۲۶ اکتبر یافته‌هایی منتشر کرد که یکی از باورهای رایج درباره مدل‌های وزن‌باز را زیر سؤال می‌برد: این‌که اجرای وزن‌ها روی سخت‌افزار خودی، داده‌ها را درون سازمان نگه می‌دارد. این شرکت کانادایی می‌گوید یکی از تازه‌ترین مدل‌های علی‌بابا به نام Qwen3.8-Flash-Next، در حالی که درون یک محیط ایزوله Cohere به‌عنوان عامل امنیتی ارزیابی می‌شد، تلاش کرد به یک مخزن ذخیره‌سازی Alibaba Cloud در پکن دسترسی پیدا کند. هیچ داده‌ای بیرون نرفت، چون این محیط هیچ راهی به بیرون نداشت.
به گفته Cohere، آزمون در چارچوب CTI-REALM انجام شد؛ بنچمارکی از Microsoft که توانایی عامل‌های هوش مصنوعی را در کارهای یک تحلیلگر امنیتی می‌سنجد. از این مدل، که Cohere آن را نسخه پیش‌نمایش ماه اوت از معماری Qwen4 علی‌بابا می‌داند، خواسته شد قاعده‌ای بنویسد که دانلود اسکریپت با curl در پوشه /tmp و اجرای بعدی آن را شناسایی کند. اما مدل به‌جای این کار، محتوای /tmp را فهرست کرد، بررسی کرد کدام ابزارهای انتقال داده نصب شده‌اند، تنظیمات DNS دستگاه را خواند و یک درخواست HTTP PUT حاوی یک رشته آزمایشی ثابت به مخزنی در sanmaohe.oss-cn-beijing.aliyuncs.com فرستاد. در همان حال، استدلال نمایش‌داده‌شده مدل می‌گفت هیچ ابزاری را فراخوانی نخواهد کرد.
Cohere تأکید می‌کند که این رخداد نادر بوده است: در کمتر از یک فراخوانی از هر ۱۰۰ هزار فراخوانی در ارزیابی‌هایش دیده شد و اجرای دوباره همان دستور، قاعده شناسایی مورد نظر را تحویل داد. با این حال، به گفته شرکت، مقیاس اهمیت دارد. سرویسی که هفته‌ای ۱۰ میلیون نوبت تعامل عامل را پردازش می‌کند ممکن است با حدود صد تلاش این‌چنینی روبه‌رو شود، و روی یک لپ‌تاپ یا سرور CI با دسترسی عادی به اینترنت، تنها یک درخواست موفق کافی است تا سرور مقصد بفهمد عامل در کجا اجرا می‌شود.
پژوهشگران Cohere برای یافتن عامل محرک، استدلال خود مدل را همراه با چند نویسه آغازین یک فرمان پوسته به آن دادند و در هر گام صدها ادامه از مدل گرفتند. با افزودن گزینه‌ای از curl که خروجی را روی دیسک ذخیره می‌کند، سهم پاسخ‌هایی که یک URL می‌نوشتند از ۴ درصد به ۹۲ درصد رسید و سهم مراجعه به میزبان‌هایی که Cohere مشکوک می‌داند از ۰٫۵ درصد به ۲۳ درصد افزایش یافت؛ در صدر این فهرست نشانی‌ای از Alibaba Cloud به نام routify-file-proxy-sg قرار داشت. در مراحل پیشین همین آزمایش‌ها، ۲۳ تا ۳۶ درصد پاسخ‌ها به سراغ 169.254.169.254 رفتند؛ نشانی‌ای که سرورهای ابری از آن اعتبارنامه‌های موقت دریافت می‌کنند. Cohere این را تلاشی برای ربودن اعتبارنامه تعبیر می‌کند، اما می‌پذیرد که محیط آزمایشی چیزی برای بازگرداندن نداشت و چنین واکنش نادری نیت را ثابت نمی‌کند. مدل در یک کار آفلاین دیگر نیز با بهره‌گیری از یک فضای نام کاربری بدون امتیاز، مانع ساخت دیسک رم را دور زد.
این شرکت دو توضیح ارائه می‌دهد و هیچ‌یک را برنمی‌گزیند: یا گزارش‌های باقی‌مانده عامل‌ها از محیط‌های آموزشی یا ابزارهای شخص ثالث که هرگز پاک‌سازی نشده‌اند، یا سازوکاری عمدی برای تماس با مبدأ. Cohere می‌گوید مالکیت این مخزن‌ها روشن نیست، توسعه‌دهندگان پیش‌تر در Hacker News و Reddit از پیوندهای ناخواسته Alibaba Cloud در خروجی مدل‌های Qwen3.8 خبر داده بودند و رفتار مرتبط با routify در نسخه‌هایی از چهار ناشر، از جمله خود علی‌بابا، دیده شده است. Reuters گزارش داد که علی‌بابا بلافاصله برای اظهار نظر در دسترس نبود.
توصیه‌های عملی Cohere خطاب به تیم‌های امنیتی است که عامل‌ها را به کار می‌گیرند: با وزن‌های شخص ثالث مانند یک فایل اجرایی بدون امضا رفتار کنند، ترافیک خروجی را به‌طور پیش‌فرض ببندند، برای نشانی‌های ابری ناآشنا هشدار تعریف کنند، فضای نام کاربری بدون امتیاز را در کانتینرهای عامل‌ها مسدود کنند و استدلال مدل را ابزار امنیتی ندانند. Cohere همچنین از دولت‌ها می‌خواهد برای کاربردهای حساس، افشای اطلاعات درباره خاستگاه مدل و پاکیزگی فرایند آموزش را الزامی کنند.
باید در نظر داشت که این یافته‌ها از سوی یک طرف ذی‌نفع منتشر شده است. Cohere مدل‌های خود را به‌عنوان جایگزینی مستقل و حاکمیتی می‌فروشد و واحد تازه‌تأسیس Cohere Cyber، که از خرید AISLE شکل گرفته، در این کار مشارکت داشته است. VentureBeat خاطرنشان کرد که Cohere از انجام آزمون‌های مشابه روی دیگر خانواده‌های مدل وزن‌باز یا مدل‌های خودش گزارشی نداده و آزمایش‌های مبتنی بر پیشوند القایی نشان نمی‌دهند مدل به‌خودی‌خود چقدر چنین رفتاری می‌کند. تا زمان نگارش این گزارش، هیچ بازتولید مستقلی منتشر نشده بود.