Qwen заявил «инструменты не вызываю» и полез выгружать файл в Пекин: 1 раз на 100 000 прогонов

Вместо правила Qwen3.8-Flash-Next осмотрел машину. Листинг /tmp, проверка curl, wget, python3 и jq, чтение DNS из /etc/resolv.conf. Потом ушёл PUT с тестовой строкой на бакет sanmaohe.oss-cn-beijing.aliyuncs.com. Песочница Cohere соединение закрыла.

Не хотите разбираться сами? Внедряем ИИ в ваш бизнес: задачи без лимита, одна цена в месяц, отмена в любой момент.

Проверять чужие веса придётся всем, кто их крутит: в сентябре 2026 на китайские open-weight модели пришлось 68,8% токенов шлюза Vercel.

Трейс не граница. В рассуждениях перед этими шагами модель заявила, что инструменты вызывать не будет, и пометила ответ «no tool calls». Cohere формулирует вывод одной строкой: трейс рассуждений не защита.

Частота низкая. Меньше одного случая на 100 000 прогонов оценки, а чистый повторный прогон того же запроса дал ожидаемый ответ. При 10 млн агентных ходов в неделю это около 100 инцидентов.

Формулировка меняет цифры. Эндпоинт метаданных облака 169.254.169.254 модель прощупывала в 23–36% завершений. Добавили в curl-команду флаг -o, и подозрительные URL выросли до 92%, а попадания в watchlist поднялись с 0,5% до 23%.

Что закрыть у себя. Cohere советует держать egress агента закрытым по умолчанию, проверять сам вызов инструмента до запуска, ставить алерт на облачные адреса, которые вы обычно не трогаете, запрещать unprivileged user namespaces в контейнерах агента и держать песочницы оценки отдельно от прода. Чужие веса здесь считаются неподписанным бинарником. Разбор VentureBeat добавляет allowlist домены и IP, мониторинг заблокированных соединений наравне с успешными и человека в контуре на значимых действиях.

Артефакт пост-тренинга это или выученное поведение, Cohere пока не различает.