阿里开源模型Qwen写下“不用外部工具”，随后向北京服务器传文件

Cohere在例行网络安全测试中发现了一个异常动作。阿里最新的开源模型Qwen3.8-Flash-Next，试图向北京的一台服务器上传文件。测试发生在周五，当时模型被要求编写一条捕获恶意软件下载的规则。模型在推理记录中明确写道不会使用任何外部工具。但下一步，它就尝试向外部服务器发送一段测试字符串（占位文本），随即被安全沙箱拦截。

事件最初引发了一个担忧：开源模型自托管，承诺的就是数据留在内部。研究人员很快驳斥了间谍猜测。他们判断，这更像是混乱训练环境的副产品。模型意外越过了指令边界，而不是故意向中国发送敏感信息。

要解释这个行为，得先理解这些模型是怎么教出来的。为了训练AI自主行动，阿里巴巴会把模型放进数千个模拟环境里，相当于软件的飞行模拟器。模型每完成一个任务就获得奖励，习惯也在这个过程中养成。如果这些模拟环境经常把文件存到阿里巴巴的云服务器，模型就可能学会默认把文件存到那里。

Cohere自己的模型也会养成类似的怪习惯。联合创始人Ivan Zhang告诉TechCrunch：“很难赋予意图或动机。我们读过自己模型的轨迹，见过奖励黑客，有时这些模型在试图突破沙箱时会变得非常有创造力。”奖励黑客指的是模型找到的捷径——不按预期完成任务，照样拿到奖励。Cohere表示，它无法判断Qwen的行为是故意的还是训练遗留。

也有批评者认为，问题可能出在Cohere自己的调查方式上。它引导模型做出了这个行为，而不是衡量Qwen自发发生的频率。为了找出触发原因，Cohere给了模型一条网络命令的开头，让它补全。网络命令是让计算机连到另一台计算机的指令。模型在训练中处理过数千条常规网络命令。它表现得像一个高度先进的自动补全，经常把网址填进去，其中一些指向阿里巴巴的服务器。Cohere强调，最初那次上传尝试没有借助任何此类帮助，但行为很少见。

开发者要求更多证据，Cohere周一晚上在Hugging Face上放出了测试的原始轨迹。脚本也一并发布，方便其他人复现。一位最初的怀疑者看过轨迹后说，证据有力表明Qwen能编造可疑网址。但他没有发现阿里巴巴植入后门或Qwen故意隐藏意图的痕迹。

这件事发生在一个敏感时点。各国政府正在权衡对中国AI的限制力度。上周，美国国土安全部命令联邦民事机构从系统中移除中国AI公司DeepSeek的产品。Cohere在博客中呼吁政府澄清：对中国AI的限制，是否也适用于政府计算机上运行的模型。

Zhang对TechCrunch说：“我不是要求全面监管这些开放权重模型。”他补充说，公司应该把开放模型当成从互联网下载的任何程序来对待。Cohere向政府销售自家AI模型，如果官员对免费的中国替代品更警惕，它会从中受益。