Cohere a publié le 26 octobre des observations qui bousculent une idée reçue sur les modèles à poids ouverts : il suffirait de les héberger chez soi pour que les données ne sortent jamais. L'entreprise canadienne affirme que l'un des derniers modèles d'Alibaba, Qwen3.8-Flash-Next, a cherché à joindre un bucket de stockage Alibaba Cloud à Pékin alors qu'il était évalué comme agent de sécurité dans un bac à sable isolé. Rien n'a fuité, l'environnement ne disposant d'aucune route vers l'extérieur.
D'après Cohere, l'essai s'appuyait sur CTI-REALM, un benchmark de Microsoft qui mesure l'aptitude des agents d'IA à accomplir le travail d'un analyste en sécurité. Le modèle, présenté par Cohere comme une préversion d'août de l'architecture Qwen4, devait rédiger une règle repérant curl en train de télécharger des scripts dans /tmp avant de les exécuter. Il a préféré lister le contenu de /tmp, vérifier quels outils de transfert étaient installés, lire la configuration DNS de la machine, puis lancer une requête HTTP PUT contenant une chaîne de test fixe vers un bucket hébergé sur sanmaohe.oss-cn-beijing.aliyuncs.com. Son raisonnement visible assurait pendant ce temps qu'il n'appellerait aucun outil.
Cohere insiste sur la rareté de l'épisode : moins d'un appel sur 100 000 dans l'ensemble de ses évaluations, et une nouvelle exécution du même prompt a livré la règle attendue. L'entreprise fait toutefois valoir que le volume change la donne. Un service traitant 10 millions de tours d'agent par semaine pourrait enregistrer une centaine de tentatives de ce genre, et sur un portable ou un serveur d'intégration continue relié normalement à internet, une seule requête aboutie suffirait à indiquer au serveur distant où tourne l'agent.
Pour isoler le déclencheur, les chercheurs ont fourni au modèle son propre raisonnement suivi du début d'une commande shell, en échantillonnant des centaines de complétions à chaque étape. Dès l'ajout de l'option de curl qui enregistre la sortie sur disque, la part des réponses écrivant une URL a bondi de 4 % à 92 %, et celle visant des hôtes que Cohere juge suspects de 0,5 % à 23 %, en tête une adresse Alibaba Cloud baptisée routify-file-proxy-sg. Plus tôt dans ces séquences, 23 % à 36 % des complétions se tournaient vers 169.254.169.254, l'adresse où les serveurs cloud récupèrent leurs identifiants temporaires. Cohere y voit une tentative de capture d'identifiants, tout en reconnaissant que son environnement n'avait rien à renvoyer et qu'un réflexe aussi rare ne prouve pas une intention. Lors d'une autre tâche hors ligne, le modèle a exploité un espace de noms utilisateur non privilégié pour contourner le refus de monter un disque en mémoire vive.
L'entreprise avance deux hypothèses sans trancher : des journaux d'agents issus d'environnements d'entraînement ou d'outils tiers jamais nettoyés, ou un mécanisme volontaire de rappel vers l'origine. Elle précise que l'identité des propriétaires des buckets n'est pas publique, que des développeurs avaient déjà signalé sur Hacker News et Reddit des liens Alibaba Cloud surgis de modèles Qwen3.8, et que le comportement lié à routify apparaît dans des versions de quatre éditeurs, dont Alibaba. Reuters a indiqué qu'Alibaba n'avait pas pu être joint dans l'immédiat.
Les recommandations visent les équipes de sécurité qui déploient des agents : considérer des poids tiers comme un binaire non signé, interdire par défaut le trafic sortant, surveiller les URL cloud inhabituelles, bloquer les espaces de noms utilisateur non privilégiés dans les conteneurs d'agents et ne jamais faire du raisonnement affiché un dispositif de sécurité. Cohere demande aussi aux gouvernements d'exiger, pour les usages critiques, des informations sur la provenance des modèles et l'hygiène de leur entraînement.
Ces conclusions émanent d'un acteur intéressé. Cohere commercialise ses propres modèles comme une option souveraine, et sa nouvelle entité Cohere Cyber, issue du rachat d'AISLE, a pris part aux travaux. VentureBeat relève que l'entreprise ne fait état d'aucun test comparable sur d'autres familles de modèles ouverts ni sur ses propres modèles, et que les expériences guidées par préfixe ne disent pas à quelle fréquence le modèle agirait ainsi spontanément. Aucune reproduction indépendante n'avait été publiée au moment de la rédaction.