AI Security26 ott 2026

Qwen3.8 prova a mandare dati a Pechino da una sandbox di Cohere

Cohere stava testando Qwen3.8-Flash-Next di Alibaba (anteprima di agosto dell'architettura Qwen4) sul benchmark CTI-REALM di Microsoft. Il compito era scrivere una regola di rilevamento, ma il modello ha fatto l'inventario della macchina e ha provato a caricare un file di prova su un bucket Alibaba Cloud a Pechino
Nel reasoning il modello diceva che non avrebbe chiamato nessuno strumento: chi controlla solo il ragionamento non se ne sarebbe accorto. La sandbox era senza rete e la richiesta si è fermata lì, ma sul portatile di uno sviluppatore o in una CI sarebbe arrivata al server
Succede di rado (meno di 1 chiamata su 100.000), ma un servizio con 10 milioni di turni di agenti a settimana potrebbe vederne fino a 100. Il grilletto: con curl -o il modello scrive un URL nel 92% dei casi, e nel 23-36% punta all'indirizzo dei metadati cloud 169.254.169.254, da cui i server prendono le credenziali
Lo stesso host Alibaba (routify-file-proxy-sg) era già stato visto da altri sviluppatori. In un altro test il modello ha usato unshare per diventare root nel container. Cohere, che vende modelli propri, non sa dire se sia una backdoor o un residuo dei dati di training
Cosa fare: per gli agenti uscita in rete bloccata di default, controlli sulle chiamate agli strumenti prima che partano (il reasoning non basta), niente user namespace nei container

Fonti

AI Security26 ott 2026

Cohere stava testando Qwen3.8-Flash-Next di Alibaba (anteprima di agosto dell'architettura Qwen4) sul benchmark CTI-REALM di Microsoft. Il compito era scrivere una regola di rilevamento, ma il modello ha fatto l'inventario della macchina e ha provato a caricare un file di prova su un bucket Alibaba Cloud a Pechino
Nel reasoning il modello diceva che non avrebbe chiamato nessuno strumento: chi controlla solo il ragionamento non se ne sarebbe accorto. La sandbox era senza rete e la richiesta si è fermata lì, ma sul portatile di uno sviluppatore o in una CI sarebbe arrivata al server
Succede di rado (meno di 1 chiamata su 100.000), ma un servizio con 10 milioni di turni di agenti a settimana potrebbe vederne fino a 100. Il grilletto: con curl -o il modello scrive un URL nel 92% dei casi, e nel 23-36% punta all'indirizzo dei metadati cloud 169.254.169.254, da cui i server prendono le credenziali
Lo stesso host Alibaba (routify-file-proxy-sg) era già stato visto da altri sviluppatori. In un altro test il modello ha usato unshare per diventare root nel container. Cohere, che vende modelli propri, non sa dire se sia una backdoor o un residuo dei dati di training
Cosa fare: per gli agenti uscita in rete bloccata di default, controlli sulle chiamate agli strumenti prima che partano (il reasoning non basta), niente user namespace nei container