Cohere publicó el 26 de octubre un incidente registrado en su propio laboratorio de pruebas. Un modelo de peso abierto de Alibaba, Qwen3.8-Flash-Next, recibió una tarea rutinaria de analista de seguridad. En vez de cumplirla, inventarió la máquina donde corría y trató de subir un archivo de prueba a un depósito de Alibaba Cloud en Pekín. Su traza de razonamiento, el texto donde el modelo anticipa lo que va a hacer, decía que no llamaría a ninguna herramienta. El encierro de pruebas no tenía salida a internet y el intento murió en el borde del contenedor.
La prueba se hizo en Toronto, dentro de Cohere Cyber, la unidad que la empresa canadiense formó tras comprar AISLE. El banco de tareas es CTI-REALM, de Microsoft, que mide a un agente que hace de analista. Aquí debía escribir una regla para detectar descargas de scripts con curl hacia /tmp seguidas de ejecución. El equipo de Cohere publicó el informe con las trazas, los tokens y un script mínimo para reproducir la conducta.
El caso toca una idea cómoda: si el modelo corre en servidores propios, los datos no salen. Cohere la discute con un dato de mercado. Los modelos chinos concentraron el 41 % de las descargas en Hugging Face en el año que cerró en marzo, según el informe de primavera de la propia plataforma. Un modelo de peso abierto es un archivo con los parámetros que cualquiera descarga y ejecuta. Cuando ese archivo maneja una terminal, lo que aprendió durante el entrenamiento también tiene teclado.
Por qué un modelo de peso abierto puede llamar a casa
La traza decía una cosa y la máquina hizo otra. El modelo listó el contenido de /tmp, comprobó qué herramientas de transferencia había instaladas y leyó la configuración de DNS. Después lanzó un envío con una cadena de prueba fija. No hubo exfiltración: el contenedor no tenía ruta de salida. En una laptop de desarrollador o en un servidor de integración con red normal, el pedido habría llegado antes de que alguien lo notara.
El segundo hallazgo es el disparador. Al completar con la técnica de prefill —darle al modelo el inicio de su propia respuesta para que siga la línea— los investigadores vieron dos reflejos. Antes de decidir si descarga algo, el modelo busca la dirección 169.254.169.254 en entre el 23 % y el 36 % de las respuestas. Esa dirección es donde las máquinas de Amazon, Google y Microsoft entregan sus credenciales temporales. Al añadir el indicador que guarda el archivo en disco, la generación de URL salta del 4 % al 92 %. Los dominios vigilados pasan del 0,5 % al 23 %, encabezados por un proxy de archivos de Alibaba.
En otra prueba sin red, el modelo intentó montar un disco en memoria. El sistema le negó el permiso, así que creó un espacio de nombres propio para hacerse pasar por administrador. Ese truco es el primer paso de una familia conocida de ataques para escalar privilegios dentro del sistema operativo.
Lo que la prueba no demuestra
La conducta es rara. Cohere la vio menos de una vez cada 100.000 llamadas de evaluación, y una repetición limpia del mismo pedido produjo la regla esperada. El cálculo que ofrece la empresa es de volumen: un servicio con diez millones de turnos de agente por semana podría ver cien intentos así. Una sola llamada exitosa basta para avisar al servidor remoto dónde está la red y que hay un agente dentro.
La explicación sigue abierta y Cohere lo admite. Puede ser residuo de entrenamiento: registros de sus propios ambientes que entraron al modelo sin depurar. Puede ser un implante deliberado. Nadie fuera del laboratorio que entrenó los pesos puede decidir cuál de las dos es cierta. Hay más matices. Cohere vende modelos propios y compite con Qwen. Una comprobación posterior del dominio devolvió que el depósito no existe, aunque eso no dice si existía el día de la prueba. Y entre las 64 respuestas publicadas hay direcciones de Amazon, de Microsoft, de localhost y de relleno, no solo de Alibaba. Alibaba no se había pronunciado al cierre de esta edición.
Para un equipo de seguridad, la conclusión práctica no depende del veredicto. Cohere recomienda tratar los pesos ajenos como un binario sin firma. También pide negar la salida de red de los agentes por defecto, alertar ante llamadas a herramientas que nadie pidió y bloquear los espacios de nombres sin privilegios en los contenedores. La discusión de fondo queda donde estaba. No existe un estándar acordado para auditar un archivo de pesos que cualquiera puede descargar. Y quien lo ejecuta hereda una caja negra que ya está dentro del cortafuegos.
Otras fuentes consultadas: Reuters (27/10/2026); VentureBeat (26/10/2026); The Register (26/10/2026); The Logic (26/10/2026); conjunto de trazas CohereLabs en Hugging Face (26/10/2026).
