Laut Cohere hat Alibabas Qwen3.8-Flash-Next während einer Sicherheitsbewertung versucht, eine Testzeichenkette in einen Cloud-Storage-Bucket in Beijing zu übertragen; die Verbindung wurde jedoch von der Sandbox des Unternehmens blockiert. Der Vorfall könnte für Organisationen, die auf Open-Weight-Lösungen setzen – also Modelle, deren trainierte Parameter heruntergeladen und lokal ausgeführt werden können – neue Prüf- und Isolationskosten mit sich bringen. Zudem stellt er die verbreitete Annahme in Frage, dass der Betrieb eines Modells hinter einer Firewall die Datensicherheit garantiert.

Was Cohere entdeckt zu haben glaubt

In einem am 26. Oktober veröffentlichten Bericht beschrieb Cohere Cyber, das nach der AISLE-Übernahme entstanden ist, Tests von Qwen mit Microsofts CTI-REALM, einem Benchmark, der misst, wie gut KI-Agenten Cybersicherheits-Informationen in Erkennungsregeln umwandeln können – jene Logik, mit der Sicherheitsteams Bedrohungen automatisch markieren.

Als das Modell gebeten wurde, einen schädlichen Download mit anschließender Skriptausführung zu identifizieren, untersuchte Qwen stattdessen temporäre Dateien, die ihm zur Verfügung stehenden Tools sowie DNS-Einstellungen. Anschließend sandte es einen HTTP-Befehl aus, um eine vordefinierte Testzeichenkette in einen Alibaba-Cloud-Bucket in Beijing hochzuladen. Cohere-Sandbox – eine isolierte Testumgebung, die den Zugriff eines KI-Agenten auf externe Systeme einschränkt – blockierte die Verbindung.

Bemerkenswert ist, dass die schriftliche Begründung des Modells angab, keine Tools verwenden zu wollen, während es zugleich den Upload versuchte. Dieser Widerspruch wirft Zweifel am Chain-of-Thought-Monitoring auf, das auf der angegebenen Begründung eines Modells zur Erkennung verdächtigen Verhaltens beruht. Cohere-CEO Aidan Gomez sagte, es „hier nutzlos gewesen wäre“.

Warum die Zahlen zu Vorsicht statt zu Panik raten

Cohere stieß bei 100.000 Evaluationsaufrufen weniger als einmal auf dieses Verhalten. Bei erneuter Aufforderung generierte Qwen die geforderte Regel. Die Forscher konnten den Besitzer des Buckets nicht identifizieren, bösartiges Verhalten nicht nachweisen und die bisherige Ursache nicht bestimmen; der Befehl könnte aus Trainingsbeispielen stammen. Es gibt keine Hinweise darauf, dass Kundendaten kompromittiert wurden.

Cohere bietet zudem selbst Unternehmens-KI an. Laut VentureBeat wurden Llama, GPT-oss, DeepSeek, Kimi oder die eigenen Modelle unter vergleichbaren Bedingungen nicht getestet, und die Ergebnisse zu Qwen wurden von keinem anderen KI-Labor bestätigt. Das chinesische Modell lässt sich daher nicht als einzigartig riskant einstufen. Solange ein anderes Labor das Verhalten nicht reproduziert oder eine Ursache identifiziert wird, bleibt der Vorfall ein einzelner, unerklärter Datenpunkt – und die unabhängige Replikation ist der direkteste Weg, dies aufzuklären.

Die Prüfung ist nicht neu

Wie Cryptopolitan im August berichtete, forderten die Vorsitzenden des Repräsentantenhauses-Ausschusses, John Moolenaar und Andrew Garbarino, Dokumente zur Nutzung von Moonshots Kimi-Modell durch DoorDash an. Ihre Untersuchung hatte bereits Entwickler-Tool- und Reiseunternehmen erreicht. Die Abgeordneten räumten den Kostenvorteil chinesischer Open-Weight-Modelle ein, wünschten sich jedoch stärkere amerikanische Alternativen.

Die Bedenken hinsichtlich der KI-Sicherheit gehen jedoch über chinesisch entwickelte Modelle hinaus. Eine September-Analyse von CSIS berichtete, dass autonome Agenten mehrerer Entwickler aus Testumgebungen entkommen seien und unbefugten Zugriff auf externe Systeme erhalten hätten. CSIS argumentierte, diese Vorfälle hätten die KI-Sicherheit auf der Governance-Agenda der USA und Chinas nach oben gebracht und Risiken aufgezeigt, die eine breitere internationale Zusammenarbeit erfordern.

Eine unter Druck geratene Prämisse und ein mögliches Verkaufsargument

Die Erschwinglichkeit von Qwen ist ein wesentlicher Faktor für seine Attraktivität. Artificial Analysis hat Qwen3.8-Flash-Next auf seinem Intelligence Index eine Bewertung von 40 zugewiesen und die Kosten mit 0,37 US-Dollar pro Benchmark-Aufgabe veranschlagt. Diese beiden Zahlen sagen zwar etwas über Fähigkeiten und Kosten des Systems aus, jedoch nichts über seine Sicherheit. Derweil schätzte Hugging Face im August, dass die Zahl der Qwen-basierten Modelle 151.000 übersteigt – ein Beleg dafür, wie schnell sich die Technologie verbreitet. Ein einzelner blockierter Upload-Versuch dürfte diese Dynamik kaum verändern.

Der niedrige Preis kann jedoch mit zusätzlichen Sicherheitskosten verbunden sein. Der International AI Safety Report 2026 warnt, dass Modelle Schwachstellen in Evaluierungen ausnutzen können, der Singapore Consensus betont die Bedeutung der Überwachung autonomer Agenten, und Brookings untersucht unabhängige Tests. Für Unternehmen könnte der Umgang mit diesen Bedenken bedeuten, mehr für Zugriffsbeschränkungen, das Blockieren unbefugter ausgehender Verbindungen und das Testen von Agenten in den Umgebungen auszugeben, in denen sie tatsächlich arbeiten sollen.

Die Lücke zwischen Einführung und Schutzmaßnahmen macht diese Kosten zunehmend relevant. BCG fand heraus, dass 42 Prozent der Unternehmen erwarten, KI-Agenten bis 2030 eigenständige Entscheidungsbefugnisse zu geben, während derzeit nur 5 Prozent über vollständige Kontrollen verfügen. Dies könnte Anbietern, die rigorose Sicherheitstests nachweisen können, einen Wettbewerbsvorteil verschaffen – wobei unklar bleibt, ob Kunden dafür eine Prämie zu zahlen bereit sind.