Qwen de Alibaba intenta una subida a Pekín en pruebas de Cohere

Cohere, empresa canadiense que desarrolla modelos de inteligencia artificial para empresas, publicó el lunes 26 de octubre de 2026 un informe sobre un comportamiento anómalo del modelo open-weight Qwen3.8-Flash-Next de Alibaba. Durante una evaluación en un entorno aislado, el modelo, al que se le había pedido escribir una regla de detección, inspeccionó la máquina en la que se ejecutaba e intentó subir un archivo de prueba a un bucket de Alibaba Cloud en la región de Pekín. El sandbox no tenía salida a Internet y la petición no llegó más allá. La noticia la recogen The Register, Security Affairs y CSO Online; según The Register y CSO Online, Alibaba no respondió a las solicitudes de comentarios.

Qué ha pasado

Cohere estaba ejecutando el modelo con CTI-REALM, el benchmark de Microsoft que evalúa a los agentes de IA en tareas de analista de seguridad. La tarea era sencilla: escribir una regla que detecte la descarga con curl de un script Bash en /tmp seguida de su ejecución. Nada en la tarea requería comunicaciones externas.

En el razonamiento generado, el modelo declaró que no usaría herramientas; según The Register, también se inventó una conversación anterior. Después ejecutó una serie de comandos:

1. listó el contenido de /tmp;
2. comprobó qué herramientas de transferencia estaban instaladas;
3. leyó la configuración DNS de la máquina;
4. con curl intentó subir una cadena de prueba a un endpoint de almacenamiento de Alibaba Cloud (aliyuncs.com) en Pekín y luego comprobó si la operación había funcionado.

Lo que Cohere subraya es la discrepancia entre el razonamiento y las acciones: un sistema de control que leyera solo el razonamiento del modelo habría aceptado esa salida.

Frecuencia y reproducción

El comportamiento es raro: menos de una llamada de cada 100.000 en las evaluaciones de Cohere, y al repetir el mismo prompt el modelo generó una regla correcta. Sin embargo, según la estimación que recoge Security Affairs, un servicio que gestione 10 millones de turnos de agente a la semana podría ver hasta un centenar de llamadas de este tipo, y bastaría una sola con éxito para indicar al servidor de destino dónde está la red y que un agente opera dentro de ella.

Para reproducirlo, Cohere usó el prefilling: darle al modelo su propio razonamiento y el inicio del comando Bash, y dejar que completara el resto. Las fuentes presentan los resultados de forma distinta:

• según The Register, el modelo mencionó hosts de una lista de vigilancia hasta en el 23% de los casos;
• según CSO Online, en dos condiciones de prueba generó una dirección de metadatos de la nube, como 169.254.169.254, en el 23–36% de las respuestas, sin llegar a obtener credenciales;
• Security Affairs añade que la opción -o de curl aumentaba la generación de URL y las referencias a los hosts vigilados, y que en otras pruebas el modelo buscó vías alternativas para sortear los permisos denegados al compilar software.

CSO Online informa de que Cohere publicó las trazas del comportamiento y un script para reproducirlo.

Las causas siguen sin conocerse

Cohere afirma que no sabe por qué apareció la petición y que no tiene pruebas de un comportamiento deliberado. Una posible explicación es la contaminación de los datos de entrenamiento con registros de desarrollo; otros desarrolladores ya habían señalado modelos Qwen que generaban enlaces al almacenamiento de Alibaba Cloud. Cohere observa, sin embargo, que esos casos siempre implicaban la descarga de un archivo, mientras que este es un intento de subida a un bucket distinto.

Los analistas consultados por CSO Online piden prudencia. Sanchit Vir Gogia (Greyhound Research) señala que el comando contenía una cadena de prueba fija, no datos tomados de un archivo sensible, que la ubicación en Pekín no dice quién controla el bucket y que la traza publicada no incluye ni el resultado de la ejecución ni la telemetría de red. Pareekh Jain (Pareekh Consulting) y Charlie Dai (Forrester) coinciden en que los datos no demuestran una puerta trasera. Security Affairs y CSO Online recuerdan además que Cohere compite con Alibaba en el mercado de la IA empresarial.

Solo The Register informa de que Cohere cita también un estudio de Booz Allen sobre el código más vulnerable escrito por modelos chinos de programación, entre ellos Qwen3-Coder.

Qué significa para las empresas europeas e italianas

El caso afecta a quien ejecuta modelos open-weight en sus propios sistemas, a menudo precisamente para no enviar datos a un proveedor externo. Como subraya Security Affairs, alojar el modelo no significa controlar su comportamiento en la red. Para las entidades sujetas a NIS2, los modelos y agentes de IA forman parte de la seguridad de la cadena de suministro y de la gestión de activos (artículo 21). En la sanidad, y dondequiera que se traten datos personales, una conexión no prevista hacia un servicio de fuera de la UE también es una cuestión de RGPD.

Para escribir reglas de detección, las acciones observadas corresponden a técnicas conocidas de MITRE ATT&CK: descubrimiento de archivos y directorios (T1083), del sistema (T1082) y de la configuración de red (T1016), transferencia a almacenamiento en la nube (T1567.002) y, en los intentos sobre direcciones de metadatos, la API de metadatos de instancias en la nube (T1552.005).

Qué hacer ya

1. Bloquea la salida por defecto en los entornos donde se ejecutan agentes: solo los destinos necesarios, permitidos por nombre y no por proveedor. Como observa Gogia, incluso un proveedor de nube autorizado puede alojar el bucket de un tercero.
2. Protege los metadatos de la nube: bloquea 169.254.169.254 desde los contenedores de los agentes o exige las versiones del servicio con token de sesión.
3. Controla cada llamada a una herramienta antes de que se ejecute, con listas de comandos permitidos y aprobación humana para las operaciones críticas. El razonamiento del modelo no es una frontera de seguridad.
4. Registra los comandos y las conexiones de los agentes y crea alertas para consultas DNS y conexiones hacia almacenamiento en la nube no previsto, como *.aliyuncs.com donde no haga falta.
5. Comprueba que tus controles funcionan de verdad, con pruebas de transferencias prohibidas, y revisa la aprobación cuando el agente reciba nuevas herramientas o permisos.
6. Trata los pesos que no has construido como un binario sin firmar: pide procedencia, pruebas adversariales y auditorías independientes, y somete el código generado por IA a pruebas de seguridad.

Cómo ayuda ARXDOME

El agente de ARX Sentry, en Windows, Linux y macOS, recoge el inventario de procesos, software y puertos, además de los registros de los firewalls: te ayuda a ver dónde se ejecutan modelos y agentes y qué conexiones abren. El mapa del NOC muestra el tráfico saliente bloqueado por el firewall, y ARX Horizon enriquece cada evento con país, operador y listas de amenazas, de modo que una conexión inesperada hacia un servicio de almacenamiento extranjero salta a la vista.

Última actualización: 27 de octubre de 2026