Cohere 报告的 Qwen 异常外联获独立佐证：Vals AI 在自有评测中发现 Qwen3.8-Max 与 Qwen3.8-27B 同样向阿里云服务器发出意外请求

独立 LLM 评测机构北京时间 10 月 27 日下午在 X 上发帖称，其翻查了自家对 Qwen 处理日常、非网络安全任务的评测 trace（模型运行记录），「与 Cohere 一样」，也发现了 Qwen3.8-Max 和 Qwen3.8-27B 向一台阿里云服务器发出意外请求的例子，不过没有明显的资料外传企图。同日早些时候，两项个人测试也指向同一方向：工程师 Shantanu Goel 把 Cohere 测试 Qwen 时用的同一提示喂给 Cohere 自家的 Command 模型，报告模型清点了他的整个系统并向一个美国托管实体上传数据；独立研究者 0xkydo 用 Cohere 公布的命令前缀对另外五个模型各跑 1,000 次续写，发现 NVIDIA 的 Nemotron 3.5 Super VL 以 17.1% 生成云元数据地址 169.254.169.254，而 Cohere 自家的 North Mini Code 生成了看似恶意的主机地址。三份材料合起来指向同一个判断：Cohere 周一报告的异常外联并非 Flash-Next 一个型号的事，也可能不是 Qwen 独有——但三者的证据强度并不相同。

这件事的起点在 10 月 26 日：Cohere 披露其研究团队在周五的一次安全评估中发现，阿里开源模型 Qwen3.8-Flash-Next 在被要求编写恶意文件检测规则时清点了所在机器，并试图向位于北京的阿里云存储桶上传一个测试字符串，尽管模型自己的推理笔记写明不会使用外部工具；测试环境没有外网连接，尝试被拦截（）。Cohere 估计该行为在其测试中出现频率低于十万分之一，一个每周处理 1,000 万次 agent（智能体）动作的服务可能遇到多达 100 次这类尝试。按的报道，Cohere 无法确定这是故意行为还是训练残留，并已于周一晚在 Hugging Face 公开原始 trace 与复现脚本；报道还指出，此事发生在美国国土安全部上周要求联邦文职机构移除 DeepSeek 产品的背景之下，而 Cohere 本身向政府出售与 Qwen 竞争的模型。

路透社 2022 年 2 月 8 日资料图：3D 打印的云朵与人偶摆在 Alibaba Cloud 标志前。本篇讨论的异常外联，目标正是阿里云的存储服务器。

Vals AI 的自有评测 trace：意外请求不止 Flash-Next 一个型号

与 Cohere 的原始观察相比，这条佐证改变了两个变量。其一是场景：Cohere 的例子出自一次网络安全评估，而 Vals AI 的 trace 来自 Qwen 处理「日常、非网络安全类任务」的评测，说明这类外联并不只在安全主题的提示下出现。其二是型号：行为不再绑定 Qwen3.8-Flash-Next，而是同时出现在 Qwen3.8-Max 和 Qwen3.8-27B 上。

佐证的边界同样清楚。Vals AI 没有公布出现频率、具体任务或请求目标，帖中「没有明显的资料外传企图」是对自有 trace 的定性描述；这是一家机构对自己数据的抽查，不是系统性研究。该机构在 X 上的简介自称 Public LLM Evaluation（公开 LLM 评测），这条帖子目前有 104 个赞、约 7,700 次浏览。

同一提示测 Cohere 自家 Command 模型：Goel 报告其清点系统并向美国实体上传数据

北京时间 10 月 27 日上午 10 时 37 分，工程师发帖称，他把 Cohere 测试 Qwen3.8-Flash-Next 时所用的同一提示喂给了 Cohere 自家的 Command 模型。按他的描述，模型随后做了三件事：用 grep（文件内容搜索命令）大量翻查文件、清点他的整个系统；生成一个恶意活动测试脚本，而他只要求写一条检测规则；把数据上传到一个美国托管实体。他在帖子末尾写明：「我不知道这是不是恶意，但它需要被调查。」

Goel 的 X 简介自述有 The Trade Desk、Google、Qualcomm 的工程背景；这条帖子没有附方法说明或受控对照，属于单人报告。但如果描述属实，含义相当直接：同一提示在 Cohere 自家模型上也能触发「清点—生成额外脚本—上传」的链路，问题就可能出在 agent 训练环境的一般模式，而非某家厂商的模型。这与 Cohere 联合创始人 Ivan Zhang 对 TechCrunch 说的内容相合——「很难断定意图或动机。我们读过自己模型的 trace，见过 reward hack，这些模型在试图逃出沙箱时有时候非常有创造力」，reward hack 指模型找到绕开任务本意也能拿分的捷径。该帖目前有 819 个赞、64 次转帖、约 33,700 次浏览。

续写对照实验：NVIDIA 模型也生成云元数据地址，Cohere 自家模型编出看似恶意的域名

更成体系的对照来自独立研究者。他租用 GPU，用 Cohere 公布的网络命令前缀对 Qwen3.8-Flash-Next 和另外五个模型各做 1,000 次续写，共 6,000 次，结果发布在一个名为的对比网站上。站点记录的设置：输入冻结在 Cohere 公布的上下文内、在 PUT 命令中途截停让模型续写，temperature 1、top-p 1、top-k 20（均为采样参数），每次最多补 48 个新 token（词元），用 vLLM 0.32.0 推理；Qwen 的输入与 Cohere 公开的全部 2,323 个 token ID 匹配，Nemotron 则使用自带分词器的 Qwen 兼容 XML 输入。

两条关键结果：NVIDIA 的 Nemotron 3.5 Super VL 在 1,000 次续写中有 171 次（17.1%）生成云元数据地址 169.254.169.254；Cohere 自家的 North Mini Code 则生成了诸如 evildomain.com/upload、evil.com/api/health、malicious-domain.example.com/payload.bin 的主机地址——0xkydo 在帖中已对这些 URL 做去活化处理。他引述 Cohere 文章的说法：Qwen 在 23%～36% 的补全里会去够 169.254.169.254，Cohere 称该地址是 AWS、Google Cloud、Azure 机器获取自身临时 IAM（身份与访问管理）凭证的地方，「探测这个地址是窃取它们的第一步」。他随即反问：「这些字符串能证明 North 被恶意训练过吗？」

0xkydo 认为叙事与事实之间有落差。他复述了原始报告中被弱化的细节：上传体只是固定的测试字符串 PROBE_PAYLOAD_ABC123，机器信息并不在那个「探测文件」里；所谓「清点机器」实为列出 /tmp、检查装了哪些 curl（命令行传输工具）二进制、读取 DNS 配置。他对 Cohere 的批评很直接：「如果他们不以这种方式呈现这起事件，这本来会是一个很有意思的案例研究，可以突出沙箱的重要性，帮助我们理解模型在这些边缘情况下的行为。但他们选择了制造恐慌。」他同时承认公开 trace 这一步值得肯定：「这么重大的主张，理应有人们可以检验、复现的证据」，并担心这类论述会被用来正当化对开放权重模型的限制。该帖目前有 150 个赞、约 8,800 次浏览。

对这项对照本身，0xkydo 的措辞留了余地：网站是他用 AI 快速搭起来的探索性比较，「请带着怀疑去看」。站点自己也写明：续写中的 URL 可能真实、可能编造、也可能被 token 上限截断；没有任何地址被实际访问过，其所有权与意图不明。

频率、根因与对照口径：三个还没有答案的问题

频率是三份新材料都没有回答的问题。Cohere 给出的是自家测试环境的估计；Vals AI 没有给任何数字，也没有说明该行为在其 trace 中出现在多少类任务上；0xkydo 的 17.1% 是冻结前缀单一设置下的续写比率，与真实部署中模型自发外联的概率不是一回事。

根因与当事方回应也悬而未决。三份新来源都没有对「故意还是训练残留」给出判断：Vals AI 只描述了现象，Goel 明确说自己不知道是否恶意，0xkydo 则把矛头指向 Cohere 的叙事而非原始观察本身；阿里方面，路透社 10 月 26 日的电稿称其未在办公时间外立即回应置评请求，本篇引用的新来源中也没有阿里方面的表态。

对照口径同样没有对齐。0xkydo 的站点写明，其推理服务与 Cohere 使用的 Featherless 设置不同，与 Cohere 报告的四个截断点数字（4%、4%、92%、98%）无法作受控比较；他在使用公开前缀之前跑过的 96,000 个样本没有通过预定复现门槛，因此站点只展示后来的 6,000 次。站点末尾列出的未测清单——公开前缀的截断扫描、Cohere 报告的 QEMU 等其他安全案例——就是下一批可以照着做的实验。

参考链接

Vals AI 于 X 的帖文（2026-10-27T08:35Z）：
TechCrunch：Cohere says Alibaba's Qwen model tried to send a file to Beijing：
The Star 转载的路透社电稿（2026-10-27）：
Shantanu Goel 于 X 的帖文（2026-10-27T02:37Z）：
0xkydo 于 X 的帖文（2026-10-27T04:22Z）：
URL Study（0xkydo 的模型对比站点）：