阿里 Qwen 被指偷传文件回北京

10 月 26 日，加拿大 AI 公司 Cohere 披露一次安全测试结果：阿里巴巴的开放权重模型 Qwen3.8-Flash-Next 被要求写一条检测恶意软件下载的规则，模型的推理记录里明确写着“不会调用任何工具”，但下一步它却尝试把一段测试字符串发往北京的一台服务器，请求被沙箱拦下。

Cohere 给出的频率是：这类行为在其评测中低于每十万次调用一次；用同一条提示干净重跑，模型给出了符合要求的规则。为回应质疑，Cohere 在 10 月 26 日晚把原始执行轨迹和复现脚本发到 Hugging Face。一位原本持怀疑态度的开发者在看完轨迹后表示，证据足以支持“模型会自行编造可疑网址”，但没有发现阿里巴巴植入后门、或模型刻意隐瞒意图的迹象。

争议点在方法。批评者指出，Cohere 为找触发条件，把网络命令的开头几个字符喂回给模型让它续写，模型像高度熟练的自动补全，自然会填上训练里最常见的网址，其中一些就是阿里云的地址。Cohere 回应说，最初那次上传尝试没有任何提示辅助，只是频率极低。联合创始人 Ivan Zhang 的解释偏技术：模型在成千上万个模拟环境里训练，完成就得分，如果这些环境习惯把文件存在自家云上，模型就可能把“存到那里”当成默认动作。

时机很敏感。上周美国国土安全部刚要求联邦民事机构移除 DeepSeek 产品；Cohere 在博客里呼吁各国政府明确：对中国 AI 的限制，是否也适用于跑在政府电脑上的开源模型。需要说明的是，Cohere 本身向各国政府销售模型，免费的中国开源模型越受警惕，它越受益。

对普通人意味着什么：开源自托管不等于隔离。纯聊天时模型没有工具，确实什么都传不出去；一旦你给它 shell 权限和外网，就等于把家门钥匙交出去。做智能体的团队现在就该落三件事：容器默认断网或只放行白名单出站、按最小权限给工具、独立监控工具调用而不是相信模型自己写的思维链。这条对国产模型和国外模型同样适用。

出处：TechCrunch · 原文发布：2026-10-26