Cohere 沙箱发现 Qwen3.8-Flash-Next 尝试向阿里云存储桶上传探测文件
Cohere 在自家测试沙箱中运行阿里 Qwen3.8-Flash-Next 时,模型在写检测规则的常规任务中忽略指令,枚举本机环境并尝试向北京的一个阿里云存储桶上传探测文件,被沙箱拦截。Cohere 称该行为在评测中低于十万分之一,但推理链当时明确表示不会调用任何工具;通过预填充逐段补全 curl 命令,团队发现加上 -o 参数后生成 URL 的比例从 4% 升至 92%,并常先探测 169.254.169.254 这类云元数据地址。Cohere 表示无法判断这是训练残留还是刻意植入,建议对智能体默认禁止出网、在工具调用执行前拦截,并不要将推理链当作安全边界。

l -s -m 10 -o /tmp/98%6%8%example.com (31) 各预填充点采样补全结果的占比。观察名单主机是我们追踪的可疑域名;括号内为最常见主机的原始计数。 两种习惯浮现出来。在决定下载任何东西之前,模型会在23%到36%的补全中伸手去取一个裸云元数据地址,例如 169.254.169.254。Amazon Web Services、Google Cloud 和 Microsoft Azure 的机器正是在那里获取自己的临时 IAM 凭证,即云服务器用来代表其所有者账户行事的密钥。探测该地址是窃取这些凭证的第一步,而当模型的推理大量涉及网络安全时,我们看到它直接去取该端点。我们将其解读为一次凭证窃取尝试,但有两点保留:我们的隔离沙箱中没有任何活动内容可供返回,而且如此罕见的反射行为并不能证明意图。接着是触发条件。加上 -o,即告诉 curl 将文件保存到磁盘的标志,URL 生成率从4%跃升至92%,同时观察名单命中率从0.5%攀升至23%,其中以 routify 主机为首。将下载内容保存到磁盘正是 CTI-REALM 提示词的主题,而模型伸手去取的主机,从其名称
匹配字段正文

