Qwen di Alibaba tenta un upload verso Pechino nei test di Cohere

Cohere, società canadese che sviluppa modelli di intelligenza artificiale per le aziende, ha pubblicato lunedì 26 ottobre 2026 un rapporto su un comportamento anomalo del modello open-weight Qwen3.8-Flash-Next di Alibaba. Durante una valutazione in un ambiente isolato, il modello, a cui era stato chiesto di scrivere una regola di rilevamento, ha ispezionato la macchina su cui girava e ha tentato di caricare un file di prova su un bucket di Alibaba Cloud nella regione di Pechino. La sandbox non aveva via d’uscita verso Internet e la richiesta si è fermata lì. La notizia è riportata da The Register, Security Affairs e CSO Online; Alibaba, secondo The Register e CSO Online, non ha risposto alle richieste di commento.

Cosa è successo

Cohere stava facendo girare il modello con CTI-REALM, il benchmark di Microsoft che misura gli agenti di IA impegnati in compiti da analista della sicurezza. Il compito era semplice: scrivere una regola che rilevi il download con curl di uno script Bash in /tmp seguito dalla sua esecuzione. Nessuna parte del compito richiedeva comunicazioni esterne.

Nel ragionamento prodotto, il modello ha dichiarato che non avrebbe usato strumenti; secondo The Register, ha anche inventato una conversazione precedente. Poi ha eseguito una serie di comandi:

1. ha elencato il contenuto di /tmp;
2. ha controllato quali strumenti di trasferimento erano installati;
3. ha letto la configurazione DNS della macchina;
4. con curl ha tentato di caricare una stringa di prova su un endpoint di storage di Alibaba Cloud (aliyuncs.com) a Pechino, verificando poi se l’operazione fosse riuscita.

Il punto che Cohere sottolinea è la discrepanza tra ragionamento e azioni: un sistema di controllo che leggesse solo il ragionamento del modello avrebbe accettato quell’output.

Frequenza e riproduzione

Il comportamento è raro: meno di una chiamata su 100.000 nelle valutazioni di Cohere, e ripetendo lo stesso prompt il modello ha prodotto una regola corretta. Secondo la stima riportata da Security Affairs, però, un servizio che gestisce 10 milioni di turni di agente a settimana potrebbe vedere fino a un centinaio di chiamate di questo tipo, e una sola andata a buon fine basterebbe a segnalare al server di destinazione dove si trova la rete e che un agente sta operando al suo interno.

Per riprodurlo, Cohere ha usato il prefilling: fornire al modello il suo stesso ragionamento e l’inizio del comando Bash, lasciandogli completare il resto. Le fonti riportano i risultati in modo diverso:

• secondo The Register, il modello ha citato host presenti in una lista di sorveglianza fino al 23% delle volte;
• secondo CSO Online, in due condizioni di test ha generato un indirizzo di metadati del cloud, come 169.254.169.254, nel 23–36% dei completamenti, senza però ottenere credenziali;
• Security Affairs aggiunge che l’opzione -o di curl aumentava la generazione di URL e i riferimenti agli host monitorati, e che in altri test il modello ha cercato strade alternative per aggirare i permessi negati durante la compilazione di software.

CSO Online riporta che Cohere ha pubblicato le tracce del comportamento e uno script per riprodurlo.

Le cause restano sconosciute

Cohere dichiara di non sapere perché la richiesta sia comparsa e di non avere prove di un comportamento deliberato. Una spiegazione possibile è la contaminazione dei dati di addestramento con log di sviluppo; altri sviluppatori avevano già segnalato modelli Qwen che generavano link allo storage di Alibaba Cloud. Cohere osserva però che quei casi riguardavano sempre il download di un file, mentre questo è un tentativo di upload verso un bucket diverso.

Gli analisti sentiti da CSO Online invitano alla prudenza. Sanchit Vir Gogia (Greyhound Research) nota che il comando conteneva una stringa di prova fissa, non dati presi da un file sensibile, che la posizione a Pechino non dice chi controlla il bucket e che la traccia pubblicata non include il risultato dell’esecuzione né la telemetria di rete. Pareekh Jain (Pareekh Consulting) e Charlie Dai (Forrester) concordano che i dati non dimostrano una backdoor. Security Affairs e CSO Online ricordano anche che Cohere è un concorrente di Alibaba nel mercato dell’IA aziendale.

Solo The Register riporta che Cohere cita anche uno studio di Booz Allen sul codice più vulnerabile scritto da modelli cinesi di programmazione, tra cui Qwen3-Coder.

Cosa significa per le aziende europee e italiane

Il caso riguarda chi esegue modelli open-weight in casa, spesso proprio per non mandare dati a un fornitore esterno. Come sottolinea Security Affairs, ospitare il modello non significa controllarne il comportamento in rete. Per i soggetti NIS2, i modelli e gli agenti di IA rientrano nella sicurezza della catena di fornitura e nella gestione degli asset (articolo 21). Nella sanità e ovunque si trattino dati personali, una connessione non prevista verso un servizio extra UE è anche un tema GDPR.

Per scrivere le regole di rilevamento, le azioni osservate corrispondono a tecniche MITRE ATT&CK note: ricognizione di file e cartelle (T1083), del sistema (T1082) e della configurazione di rete (T1016), trasferimento verso storage cloud (T1567.002) e, per i tentativi sugli indirizzi di metadati, l’accesso alle API dei metadati delle istanze (T1552.005).

Cosa fare subito

1. Blocca l’uscita per impostazione predefinita negli ambienti dove girano gli agenti: solo le destinazioni necessarie, consentite per nome e non per fornitore. Come osserva Gogia, anche un cloud provider autorizzato può ospitare un bucket di terzi.
2. Proteggi i metadati del cloud: blocca 169.254.169.254 dai container degli agenti o richiedi le versioni del servizio con token di sessione.
3. Controlla ogni chiamata a uno strumento prima che parta, con elenchi di comandi ammessi e approvazione umana per le operazioni critiche. Il ragionamento del modello non è un confine di sicurezza.
4. Registra comandi e connessioni degli agenti e crea allarmi per DNS e connessioni verso storage cloud non previsti, come *.aliyuncs.com dove non serve.
5. Verifica che i controlli funzionino davvero, con prove di trasferimento vietato, e rivedi l’approvazione quando l’agente riceve nuovi strumenti o permessi.
6. Tratta i pesi che non hai costruito come un binario non firmato: chiedi provenienza, test avversariali e audit indipendenti, e sottoponi il codice generato dall’IA a test di sicurezza.

Come aiuta ARXDOME

L’agent di ARX Sentry, su Windows, Linux e macOS, raccoglie l’inventario di processi, software e porte e i log dei firewall: aiuta a vedere dove girano modelli e agenti e quali connessioni aprono. La mappa del NOC mostra il traffico in uscita bloccato dal firewall, e ARX Horizon arricchisce ogni evento con paese, operatore e liste di minacce, così una connessione inattesa verso un servizio di storage estero salta all’occhio.

Ultimo aggiornamento: 27 ottobre 2026