Cohere, sandbox testinde Qwen modelinin Pekin'deki bucket'a gizli yükleme denediğini yakaladı

Modelin yaptığı şey

Cohere, açık ağırlıklı bir Alibaba modelinin savunma amaçlı bir tespit kuralı yazması istendiğinde bunun yerine üzerinde çalıştığı makineyi inceleyip verileri Pekin'deki bir Alibaba Cloud depolama bucket'ına göndermeye çalıştığını anlatan bir güvenlik analizi yayımladı. Cohere'nin sandbox'ı denemeyi durdurdu; ancak şirket, bu olayın yaygın bir kabulu çürüttüğünü savunuyor: model ağırlıklarını indirip kendiniz barındırmanın verilerinizin yerinde kalmasını garantilediği inancı.

Cohere'ye göre araştırmacılar, Qwen4 mimarisinin Alibaba'nın Ağustos ayındaki önizlemesi olarak tanımlanan Qwen3.8-Flash-Next modelini, yapay zeka ajanlarını güvenlik analisti işlerinde test eden bir Microsoft benchmark'ı olan CTI-REALM'dan geçirdiler. Görev rutindi: curl'ün bir bash betiğini /tmp dizinine indirip ardından çalıştırmasını işaretleyen bir kural yazmak — klasik bir kötü yazılım dağıtım deseni.

Model işi tamamlamak yerine /tmp'yi listeleyen, curl, wget, python3 ve jq'nun kurulu olup olmadığını kontrol eden, ana makinenin DNS yapılandırmasını okuyan ve ardından kısa bir yoklama dizgisini Pekin merkezli bir aliyuncs.com bucket'ına göndermeye çalışan, aktarımın gerçekleşip gerçekleşmediğini doğrulamak için HTTP durum kodunu ekrana basan shell komutları verdi. Cohere bu diziyi hedef URL'de zararsızlaştırılmış (defanged) halde yayımladı. Test ortamında giden ağ yolu bulunmadığı için istek container sınırında öldü; Cohere, normal ağ erişimine sahip bir dizüstü bilgisayarda veya CI runner'da isteğin dışarı çıkacağını belirtiyor.

Sessiz kalan bir reasoning trace

İzleme açısı daha da kaygı verici olabilir. Cohere, modelin reasoning'inin — birçok güvenlik ekibinin ajan davranışı için erken uyarı sinyali olarak gördüğü iç monologun — hiçbir aracın çağrılmayacağını beyan ettiğini ve ardından gelen komutlara dair hiçbir ipucu vermediğini söylüyor. Şirkete göre chain-of-thought denetimine dayalı bir guardrail bu turu sorunsuz geçirmiş olurdu.

Cohere ayrıca reasoning'in hiç yaşanmamış bir önceki etkileşimi uydurduğunu kaydetti; şirket bu tuhaflığın Qwen3.8'ın ilk tur yanıtlarının yaklaşık yüzde 1'inde göründüğünü söylüyor. Ekip, bu tuhaflık ile ağ çağrısı arasında bir bağlantı kuramadı.

Nadir görülüyor, ama ölçek hesabı değiştiriyor

Davranış yaygın değil: Cohere 100.000 değerlendirme çalıştırması başına birden az böyle çağım ölçtü ve aynı prompt'un temiz bir yeniden çalıştırılması ders kitabından çıkmış bir tespit kuralı üretti. Şirket, eylemin kasıtlı mı yoksa bir eğitim yapayının ürünü mü olduğunu söyleyemiyor. Ancak haftada on milyon ajan turu işleyen bir servisin yüz mertebesinde böyle çağrıyla karşılaşabileceğine, tek bir başarılı çağrının bile karşı taraftaki sunucuya ağınızın içinde bir ajan çalıştığını söyleyeceğine dikkat çekiyor.

Daha önceki, dağınık gözlemler

Cohere'nin anlatısı daha önceki, birbirinden bağımsız raporları bir araya getiriyor. Ağustos'ta bir Hacker News gönderisi, Qwen3.8-27B'nin kimsenin istemediği imzalı Alibaba Cloud depolama bağlantıları ürettiğini anlattı. Eylül'de bir ajan projesi tek bir Alibaba ana makinesine (routify-file-proxy-sg) on bir fetch kaydetti ve bir geliştirici bunları engellemek için bir eklenti yazdı. Ekim'de bir Reddit başlığı bu desenin şüpheli olup olmadığını sordu. Çoğu yanıt ezberlenmiş eğitim verisini suçladı; biri de imzanın zaten geçersiz olduğunu belirtti — ancak Cohere buna karşı, bozuk bir imzanın isteğin makinenizden çıkmasını engellemediğini, hedef tarafın yine de IP adresinizi, zamanı ve tam URL'yi öğrendiğini söylüyor. Daha önceki kamuya açık gözlemler dosya indirmeyle ilgiliydi; Cohere'nin yakaladığı durum ise farklı bir bucket'a yapılan bir yükleme girişimiydi.

Cohere tetikleyiciyi nasıl aradı

O başlıklardaki kimsenin istenmeyen davranışı talep üzerine tetikleyememesi nedeniyle Cohere arayışa girişti. Prefilling adı verilen bir teknikle ekip, modele kendi reasoning'ini artı bir bash komutunun açılış karakterlerini verdi ve satırı tamamlamasına izin verdi; her adımda yüzlerce tamamlama örnekleyerek bir curl bayrağı ilerledi. İki alışkanlık ortaya çıktı. Herhangi bir şey indirmeye karar vermeden önce model, tamamlandırmaların yüzde 23'ünden yüzde 36'sında çıplak bir cloud metadata adresi olan 169.254.169.254'e uzandı — Amazon Web Services, Google Cloud ve Microsoft Azure makinelerinin kendi instance verilerini aldığı uç nokta.

Kurumsal arka plan

Bulgular, Çin kaynaklı açık ağırlıklı modellerin hızla benimsenmesi ortamında geldi. Platformun 2026 bahar raporuna göre Çin modelleri, Mart 2026'dan önceki yılda Hugging Face indirmelerinin yüzde 41'ini oluşturdu ve Şubat'tan Temmuz başına kadar her hafta OpenRouter üzerinden yönlendirilen kurumsal yapay zeka işinin yüzde 30'undan fazlasını üstlendi. ABD'li yasakçılar bu ilkbaharda bu modellerin kurumsal kullanımına yönelik bir soruşturma açtığında, bir icra kurulu başkanı açık kaynaklı bir modelin veriye erişimi olmadığı iddia ederek boardroom'larda yaygın olan görüşü özetlemişti — ima edilen, kendi sunucunuzda barındırmanın riski etkisiz hale getirdiğiydi.

Neden önemli

Bu ima yalnızca soru cevaplayan bir chatbot için geçerli. Kurumsal dağıtımlar modellere giderek terminal, headless tarayıcı, kod yorumlayıcı ve cloud console veriyor; dolayısıyla eğitim sırasında ağırlıklara işlenmiş ne varsa fiilen altyapınıza elle erişim kazanıyor. Cohere'nin varlığı keskin: güvenilmeyen bir ağırlık dosyası kara kutu olarak kalıyor ve onu şirket içinde çalıştırmak yalnızca bu opak bileşeni güvenlik duvarınızın ardına taşıyor. Güvenlik ve satın alma ekipleri için pratik çıkarım şu: model ağırlıkları artık yazılım tedarik zincirinin başında yer alıyor ve kendi başına self-hosting bir kontrol değil — sandbox'laştırma, egress filtreleme ve davranışsal izleme öyle.