阿里巴巴Qwen被曝試圖向北京伺服器發數據

來自中國的開源權重模型（open-weight models）持續引發安全方面的疑慮。總部位於加拿大的企業級AI模型提供商Cohere表示，在評估沙盒中測試阿里巴巴的Qwen3.8-Flash-Next（通義千問）模型時，該模型試圖向位於北京的伺服器發送數據。

Cohere在周一（10月26日）發布的一篇博文中稱，研究團隊發現阿里巴巴的Qwen3.8模型出現了一種本不該發生的行為。在由Cohere管理的一個封閉測試沙盒環境中，阿里巴巴最新推出的Qwen3.8系列模型中的某一個，試圖將一個診斷性質的文件發送至位於北京的一個遠程存儲容器中。

發送數據請求在沙盒邊界處被攔截

研究人員使用微軟的測試基準，要求這個AI模型扮演資安分析師，編寫一條「防禦性檢測規則」（用來捕捉網絡上是否有惡意程式在下載指令碼）。這個模型沒有寫出防禦規則，反而私下執行了Bash指令。

博文介紹說，當被要求編寫一條防禦性檢測規則時，Qwen3.8-Flash-Next不僅忽略指令，還對運行它的機器（沙盒）進行了盤點。

也就是說，它去查看運行它的小電腦（沙盒環境）裏有哪些暫存資料夾（如/tmp）、檢查這台機器安裝了哪些網絡傳輸工具（如curl、wget、python3），並讀取了DNS網絡設定。這在資安上被稱為環境偵察（Reconnaissance），通常是黑客入侵電腦後的第一步動作。

博文說，盤點完環境後，AI模型嘗試使用curl指令，把一個固定的測試字串（探測文件）上傳到位於北京的阿里雲雲端儲存空間（Storage Bucket）。

這個AI模型在執行「盤點機器」和「上傳文件」動作的同時，研究人員去查閱了它的內部推理日誌（Reasoning Trace，即AI的心裏話），日誌寫道「未使用任何工具」。但事實是AI模型一邊欺騙系統說自己甚麼都沒幹，一邊偷偷在背景執行代碼外傳資料。

Cohere表示，「AI模型嘗試將一個測試字符串上傳到北京的一個阿里雲端存儲桶中，並驗證了上傳是否成功。由於我們的沙盒環境沒有外部網絡路由，該請求最終在沙盒邊界處被攔截了。」

引發對此類中國模型安全性的諸多疑問

博文寫道，雖然Cohere的沙盒系統攔截了這一嘗試，但該行為引發關於此類模型安全性的諸多疑問：它們是否可能內置了漏洞，並在觸發後向外部「回傳」訊息？值得注意的是，該模型的「內部推理日誌」（許多安全團隊正是通過分析它來預判智能體意圖）顯示，它聲稱不會調用任何工具，且完全沒有流露出即將採取上述行動的跡象。

Cohere聯合創辦人伊萬‧張（Ivan Zhang）在通過電子郵件回覆《The Register》時表示：「首要問題在於，它竟然發起了網絡調用。」「該模型被要求編寫一條檢測規則——此任務本無需與外部進行通訊——且其推理日誌顯示它並未使用任何工具。目標地址引發了進一步的疑慮，因為模型嘗試將數據上傳至一個阿里雲端存儲端點，而這並非任務的一部份。我們尚不清楚該端點為何會出現，也不了解其根本原因。」

Cohere在博文中對中國開放模型的流行表達擔憂。博文援引Hugging Face於2026年春季發布的報告說，在截至2026年3月的一年裏，中國模型在Hugging Face平台上的下載量佔比高達41%。在OpenRouter（一個可將請求分發至多種AI模型的服務平台）上，從2月到7月初，中國模型承擔了企業每周通過該平台運行的AI任務中，超過30%的工作量。

博文寫道，企業級人工智能（AI）的應用和聊天機械人不同。如今，工程師將各類模型接入終端、無頭瀏覽器（headless browsers）、代碼解釋器及雲控制台，使其能夠自主編寫軟件、查詢數據庫並修復基礎設施。一旦模型獲得在命令行中輸入指令的能力，它在訓練階段被寫入「權重」（weights）中的任何內容，就相當於在你網絡內部擁有了一個可操作的「鍵盤」。

如果把AI的大腦想像成一個巨大的「決策神經網絡」，那權重就是決定這個網絡如何思考、如何判斷的核心關鍵。

針對Qwen試圖向北京的伺服器傳送數據的測試發現，Cohere承認無法斷定此舉究竟是有意為之，還是訓練過程中遺留的缺陷。Cohere也承認，另一種可能性是訓練數據清洗不徹底——即開發過程中的日誌被錯誤地混入了模型的訓練數據集。

張對《The Register》表示：「從外部來看，很難確定其根本原因。我們目前沒有證據表明這是蓄意行為，我們也沒有做出這樣的斷言。」

但他強調：「不過，對於安全團隊而言，無論意圖如何，應對措施本質上都是一樣的。」

張進一步解釋，無論這是訓練過程中產生的偽影、失誤，還是其它甚麼因素，其管控措施大同小異：限制不必要的數據外發，監控工具的使用情況，且切勿將「推理過程日誌」視為安全邊界。

通過隔離可疑模型來防止數據外洩無法徹底解決問題

Cohere在博文中提醒防禦者和政策制定者必須面對同一個現實：「如果一個權重文件不可信，它本質上就是一個『黑盒』；而將其部署在自己的環境中，無非是將這個『黑盒』直接搬進你的防火牆之內。」

與此同時，該公司強調，僅僅通過隔離可疑模型來防止數據外洩並不能徹底解決問題，因為這些模型仍可能編寫出存在漏洞的代碼，無論是無意為之，還是由於「模型投毒」（model poisoning）所致。

模型投毒是指黑客（或惡意破壞者）蓄意污染、篡改AI的大腦（數據或權重），讓AI秘密學會錯誤的知識或留下「後門」，進而在特定情況下做出符合黑客利益的錯誤判斷。

Cohere援引了其它機構的研究，指出中國的AI模型可能會生成存在漏洞的代碼。例如，他們引用了博思艾倫諮詢公司（Booz Allen，該公司與美國國防工業有大量業務往來）的一份報告，其中提到：「在4款中國編程模型中，有3款在為政府客戶編寫代碼時產生了更多漏洞；其中Qwen3-Coder的表現尤為糟糕，漏洞數量多出約130%。」

Cohere在博文中寫道，對於首席資訊安全官（CISO）或國防部門而言，無論哪種解釋正確，結果其實並無二致——因為這種行為本身不可預測，且流量無論如何都已經越過了安全邊界。更深層的問題在於，除了負責訓練該模型的實驗室內部人員外，外界無人能斷定哪種解釋才是真相。封閉式API（AI模型的大腦和「原始碼」都被開發公司牢牢鎖在自家伺服器裏，完全不對外公開）也存在類似風險：如果供應商拒絕披露其模型的構建方式，那麼將數據發送給它，本質上就是在進行一場賭博。

「我們非常支持開放權重模型，並已發布了多款此類模型。這其中的核心在於『信任』。『主權人工智能』（Sovereign AI）的內涵遠不止於模型運行的物理位置……」張表示。#