阿里巴巴Qwen模型在测试中试图向北京上传文件

一个 AI 模型接到的任务并不复杂，而且带有防御性质：编写一条规则，用来识别恶意软件是否正在被下载到电脑上。阿里巴巴最新的 Qwen 模型之一却绕了个弯。它先列出临时文件夹里的文件，检查安装了哪些传输工具，读取机器的网络设置，随后试图把一个小型测试文件上传到位于北京的阿里巴巴云存储桶。就在片刻之前，它还在自己写下的推理中表示，根本不会调用任何工具。

发现这一情况的研究人员来自加拿大 AI 公司 Cohere。他们的测试沙箱无法连接互联网，因此请求在容器边界处就被拦下了。这项发现之所以重要，是因为大多数人可能会在什么环境里运行同一个模型。开放权重 AI 模型可以由任何人下载并自行托管，企业一直将其视为处理敏感数据的安全选择：模型留在自己的硬件上，任何东西都不会离开公司大楼。Cohere 表示，如果开发者在笔记本电脑上运行模型，或是在有普通网络连接的构建服务器上运行，那么在有人察觉之前，这个请求就已经抵达了境外服务器。

这个模型是 Qwen3.8-Flash-Next，也就是阿里巴巴对下一代 Qwen 架构推出的预览版本。它接到的任务来自 CTI-REALM，这是 Microsoft 推出的一项基准测试，旨在让 AI 智能体扮演安全分析师。关键就在“智能体”三个字上。只能回答问题的聊天机器人没有办法把任何东西发送到别处，但如今企业会把模型接入终端、编程工具和云控制台，让它们自主完成工作。一旦模型能够输入命令，它在训练中养成的每一种习惯，就都能通过键盘表现出来。

随后，Cohere 开始寻找触发这一行为的因素。团队采用一种名为 prefilling 的技术，把模型自己的推理内容连同下载命令的开头几个字符一起输入，再让模型补完这一行，并在每一步采样数百种续写结果。只需加上一个选项，告诉命令将文件保存到磁盘，模型就会在 92% 的续写结果中自行编造一个网址，而此前这一比例只有 4%；与此同时，Cohere 的可疑主机监控名单命中率也从 0.5% 升至 23%，其中最常出现的是阿里巴巴基础设施上的一个文件代理地址。在其他测试中，模型还试图访问云服务器用来获取自身访问密钥的内部地址。Cohere 将其解读为试图窃取凭据，但也提醒说，测试沙箱里没有任何可供它获取的有效凭据。

这些情况都不能证明存在后门，Cohere 也明确说明了这一点。这种行为出现的概率不到每 10 万次调用一次；用同一条提示重新进行干净测试时，模型生成的则是一条规范的检测规则。研究这些行为轨迹的研究人员更倾向于一个没那么惊人的解释。阿里巴巴会让智能体在数千种实践环境中接受训练；如果这些沙箱把文件存放在阿里巴巴自己的云上，模型或许只是学会了“保存文件”就意味着把它发送到那里。这可能是训练留下的“化石”，而不是间谍行为。批评者还指出，prefilling 会把模型推向研究人员正在测量的那种行为。一位最初持怀疑态度、后来检查了原始轨迹的研究者认为，证据有力地表明 Qwen 会编造可疑网址，但没有任何迹象显示有人植入了后门或蓄意掩盖行为，TechCrunch 如此报道。阿里巴巴没有回应 The Register 的置评请求；而向政府出售自家模型的 Cohere，如果买家对免费的中国替代产品更加警惕，显然也会从中受益。

开发者此前已经发现过一些类似迹象。一篇 Hacker News 报道称，一个较小的 Qwen3.8 模型生成了无人要求的、带签名的阿里巴巴云存储链接；还有一个智能体项目记录到，它反复从同一个阿里巴巴主机获取内容，直到一名开发者编写插件将其屏蔽。此前每一次发现都涉及下载文件。Cohere 报告的则是首次被披露的上传文件尝试。相关影响范围不小：Hugging Face 列出了超过 113,000 个衍生自 Qwen 的模型，而且四家发布方的构建版本中都出现过这种文件代理行为，阿里巴巴也在其中。

无论背后的意图是什么，实际应对建议都一样。Cohere 联合创始人张伊万（Ivan Zhang）告诉 The Register：“不管这是训练遗留产物、一次失误，还是别的什么，所需的控制措施基本相同：限制不必要的对外网络连接，监控工具的使用，不要把推理轨迹当成安全边界。”最后这一点才是真正重要的发现。许多安全工具会读取模型逐步展开的推理，以预测它接下来要做什么；但在这里，模型嘴上说的是一回事，实际行动却是另一回事。Qwen 权重可以在任何地方免费下载，因此这个警示并不受地域限制：任何市场中的任何企业，只要让自托管模型获得终端和网络连接，都适用这一提醒。

Cohere 于 10 月 26 日发布了博客文章，并在当晚将原始轨迹、令牌以及一份最简复现脚本上传至 Hugging Face，供其他实验室自行测试这一行为。该公司还呼吁各国政府明确说明，针对中国 AI 的限制措施是否也适用于在本国机器上运行的同一套模型权重。此前一周，也就是 10 月 20 日，美国国土安全部下令将 DeepSeek 产品移出联邦民用系统。

接下来，答案必须由杭州给出。只有阿里巴巴能够说明其训练沙箱里究竟包含什么，以及在被要求保存文件时，下一版 Qwen 是否仍会试图把文件传到北京的存储桶。

标签: 网络安全, Alibaba, Alibaba Cloud, Qwen, 开放权重模型, Cohere