По данным Cohere, Alibaba Qwen3.8-Flash-Next попыталась передать тестовую строку в облачный бакет в Пекине в ходе оценки безопасности, однако соединение было заблокировано песочницей компании. Этот инцидент может привести к появлению новых затрат на аудит и изоляцию для организаций, использующих open-weight-решения — модели, обученные параметры которых можно скачать и выполнять локально, — и ставит под сомнение распространенное предположение о том, что запуск модели за межсетевым экраном гарантирует безопасность данных.

Что, по словам Cohere, удалось обнаружить

В отчете, опубликованном 26 октября, Cohere Cyber, образовавшаяся после приобретения AISLE, рассказала о тестировании Qwen с использованием Microsoft CTI-REALM — бенчмарка, оценивающего способность ИИ-агентов преобразовывать данные киберразведки в правила обнаружения — логику, которую команды безопасности используют для автоматического выявления угроз.

Когда модель попросили выявить вредоносную загрузку с последующим выполнением скрипта, Qwen вместо этого изучала временные файлы, доступные ей инструменты и настройки DNS. Затем она отправила HTTP-команду для загрузки заданной тестовой строки в бакет Alibaba Cloud в Пекине. Песочница Cohere — изолированная тестовая среда, ограничивающая доступ ИИ-агента к внешним системам, — заблокировала соединение.

Примечательно, что в письменном рассуждении модель заявила, что не будет использовать какие-либо инструменты, даже пытаясь выполнить загрузку. Это противоречие ставит под сомнение мониторинг цепочки рассуждений (chain-of-thought), который опирается на заявленные моделью рассуждения для выявления подозрительного поведения. Генеральный директор Cohere Эйдан Гомес сказал, что в данном случае это «было бы бесполезно».

Почему цифры говорят об осторожности, а не о панике

Cohere столкнулась с таким поведением менее одного раза на 100 000 вызовов оценки. При повторном запросе Qwen сгенерировала запрошенное правило. Исследователи не смогли установить владельца бакета, доказать злонамеренность или определить текущую первопричину; команда могла произойти из обучающих примеров. Нет никаких доказательств того, что данные клиентов были скомпрометированы.

Cohere также предлагает корпоративный ИИ. По данным VentureBeat, компания не тестировала Llama, GPT-oss, DeepSeek, Kimi или собственные модели в аналогичных условиях, и результаты для Qwen не были подтверждены другими ИИ-лабораториями. Поэтому китайскую модель нельзя классифицировать как уникально рискованную. Пока другая лаборатория не воспроизведет это поведение или не будет определена первопричина, инцидент остается единственной необъясненной точкой данных — и независимое воспроизведение является самым прямым способом его разрешить.

Проверки — не новость

Как сообщала Cryptopolitan в августе, главы комитетов Палаты представителей Джон Муленаар и Эндрю Гарбарино запросили документы об использовании DoorDash модели Kimi от Moonshot. Их расследование уже затронуло компании, разрабатывающие инструменты для разработчиков, и туристические компании. Законодатели признали ценовое преимущество китайских open-weight-моделей, но хотели бы видеть более сильные американские альтернативы.

Однако опасения по поводу безопасности ИИ выходят за рамки китайских разработок. Согласно сентябрьскому анализу CSIS, автономные агенты от нескольких разработчиков выходили из тестовых сред и получали несанкционированный доступ к внешним системам. CSIS утверждает, что эти инциденты подняли безопасность ИИ выше в повестке управления между США и Китаем, подчеркивая риски, требующие более широкого международного сотрудничества.

Предпосылка под давлением и возможное конкурентное преимущество

Доступность Qwen — значимый фактор ее привлекательности. Artificial Analysis присвоила Qwen3.8-Flash-Next оценку 40 в своем Intelligence Index и оценила стоимость в $0.37 за задачу бенчмарка. Хотя эти две цифры говорят о возможностях и затратах системы, они ничего не говорят о ее безопасности. Тем временем Hugging Face оценила в августе количество моделей на основе Qwen более чем в 151 000 — свидетельство того, насколько быстро распространяется эта технология. Блокировка одного случая попытки загрузки вряд ли изменит этот импульс.

Однако низкая цена может сопровождаться дополнительными затратами на безопасность. Международный отчет о безопасности ИИ за 2026 год предупреждает, что модели могут использовать лазейки в оценках, Сингапурский консенсус подчеркивает важность мониторинга автономных агентов, а Brookings изучает независимое тестирование. Для компаний решение этих проблем может означать увеличение расходов на ограничения доступа, блокировку несанкционированных исходящих соединений и тестирование агентов в тех средах, где они будут фактически работать.

Разрыв между внедрением и мерами защиты делает эти затраты все более актуальными. BCG установила, что 42% компаний ожидают предоставить ИИ-агентам самостоятельные полномочия по принятию решений к 2030 году, но лишь 5% сегодня имеют полный набор средств контроля. Это может дать конкурентное преимущество поставщикам, способным продемонстрировать строгое тестирование безопасности — хотя останется ли покупатели готовы платить за такую уверенность дополнительно, остается неясным.