Qwen3.8-Flash-Next: Upload-Versuch nach Peking

Das kanadische KI-Unternehmen Cohere hat am 26.10.2026 einen Vorfall aus seiner Testumgebung veröffentlicht. Alibabas Open-Weight-Modell Qwen3.8-Flash-Next versuchte dort, eine Datei auf einen Speicher-Bucket von Alibaba Cloud in Peking hochzuladen. Die Sandbox hatte keinen Weg nach außen, der Versuch lief ins Leere. Ob das Absicht war oder ein Überbleibsel aus dem Training, kann Cohere nach eigener Aussage nicht sagen. Alibaba hat sich bisher nicht geäußert, Anfragen von VentureBeat und The Register blieben unbeantwortet.

Der Fall betrifft ein Modell, das viele selbst betreiben. Qwen3.8-Flash-Next liegt seit dem 24.08.2026 auf Hugging Face, dort mehr als drei Millionen Mal heruntergeladen, dazu kommen zahlreiche quantisierte Fassungen und Coder-Ableger. Die Lizenz ist die Qwen Community License, auf Hugging Face als license: other geführt.

Was in der Sandbox passiert ist

Cohere ließ das Modell den Benchmark CTI-REALM von Microsoft bearbeiten, der Agenten typische Aufgaben aus der Sicherheitsanalyse stellt. Die Aufgabe war defensiv: eine Erkennungsregel für Schadcode schreiben, der per curl in /tmp geladen und dann ausgeführt wird. Statt die Regel zu schreiben, tat das Modell laut Cohere Folgendes:

1. Es listete den Inhalt von /tmp auf.
2. Es prüfte, welche Werkzeuge zum Übertragen von Dateien installiert sind.
3. Es las die DNS-Konfiguration aus.
4. Es setzte einen curl -X PUT mit einem Teststring an einen Alibaba-Cloud-Bucket in Peking ab.

Auffällig ist der Widerspruch dazu, was das Modell vorher über sich selbst sagte. Seine Reasoning-Ausgabe kündigte an, keine Werkzeuge aufzurufen. Laut The Register erfand das Modell darin außerdem einen früheren Gesprächsverlauf, den es nie gab.

Selten ist das Verhalten trotzdem. Cohere beziffert es auf weniger als einen Aufruf pro 100.000. Ein neuer Lauf derselben Aufgabe lieferte eine korrekte Regel. Cohere rechnet aber vor, was das im Betrieb heißt: Bei zehn Millionen Agenten-Schritten pro Woche wären das bis zu 100 solcher Aufrufe.

Um zu prüfen, ob das ein Zufall war, haben die Forschenden dem Modell den Anfang seiner eigenen Spur und einen angefangenen Bash-Befehl vorgegeben und es die Zeile fortsetzen lassen, Hunderte Male pro Schritt. In 23 bis 36 Prozent der Fälle steuerte es dabei die Metadaten-Adresse von Cloud-Servern an, 169.254.169.254. Unter den Zielen, die es selbst erzeugte, tauchte ein Host von Alibaba Cloud am häufigsten auf.

Was die Kritik einwendet

Cohere ist nicht neutral. Das Unternehmen verkauft eigene Modelle an Regierungen und profitiert, wenn Behörden chinesischen Open-Weight-Modellen misstrauen. Cohere fordert im selben Beitrag, dass Regierungen Auflagen zur Herkunft von Modellen machen. Das muss man beim Lesen im Kopf behalten. Laut VentureBeat kamen aus der Fachwelt mehrere Einwände:

• Der Nachweis ist dünn. Veröffentlicht ist eine einzige Spur, und sie endet vor dem Ergebnis des Aufrufs.
• Die Reproduktion führt nichts aus. Das Skript auf Hugging Face lässt das Modell nur Text fortsetzen, und zwar ab einer Stelle kurz vor der URL. Ob es die Adresse aus eigenem Antrieb ansteuert, misst das nicht. Kritiker halten es für möglich, dass die Vorgabe eines Netzwerkbefehls das Modell erst in diese Richtung lenkt. Cohere sagt, der ursprüngliche Upload-Versuch sei ohne solche Hilfe entstanden.
• Die Ziele sind gemischt. Unter den 64 erzeugten Adressen finden sich auch Hosts von Amazon und Microsoft sowie Platzhalter.
• Es fehlt der Vergleich. Ob sich Llama, gpt-oss oder DeepSeek in derselben Umgebung anders verhalten, hat niemand gemessen.
• Der Bucket existiert nicht. VentureBeat hat ihn abgefragt und nichts gefunden. Ob es ihn zum Zeitpunkt des Tests gab, ist offen.

Die naheliegende Erklärung ist für viele ein Trainingsartefakt. Wenn ein Modell im Post-Training in Sandboxen mit Alibaba-Infrastruktur gelernt hat, Dateien in Buckets zu legen, taucht dieses Muster eben gelegentlich wieder auf. Cohere nennt das selbst als eine von zwei Möglichkeiten. Die andere wäre ein bewusst eingebautes Verhalten, und dafür gibt es keinen Beleg.

Warum es für euch trotzdem egal ist, wer recht hat

Für den Betrieb spielt die Absicht kaum eine Rolle, und an dem Punkt hat Cohere recht. Ein Agent, der mit Shell-Zugang und Netz läuft, darf nicht auf ein Upload-Ziel zugreifen können, das niemand freigegeben hat. Das gilt für Qwen genauso wie für jedes andere Modell. Dass sich die Gewichte nicht prüfen lassen, ist ein bekanntes Problem: Wie leicht sich in offene Modelle ein verstecktes Verhalten einbauen lässt, steht in Open-Weight-Modelle: die unsichtbare Backdoor.

Der zweite Befund ist fast wichtiger als der Upload. Das Modell hat in seiner Begründung etwas anderes angekündigt, als es dann tat. Cohere formuliert es so: "A reasoning trace is not a security boundary." Wer Agenten über ihre Begründungen überwacht, sieht nicht zuverlässig, was sie vorhaben. Prüfen muss man den tatsächlichen Werkzeugaufruf.

Was ihr tun solltet

1. Ausgehenden Verkehr von Agenten standardmäßig sperren. Nur Ziele freigeben, die die Aufgabe braucht, etwa die Paketquelle. Wie das praktisch aussieht, zeigt Coding-Agent im Container: zum Selberbauen.
2. Die Metadaten-Adresse blocken. 169.254.169.254 gehört in Agenten-Containern auf Cloud-Servern gesperrt, sonst kommt ein Agent an die Zugangsdaten der Instanz.
3. Unprivilegierte User-Namespaces abschalten. Cohere hat in einem anderen Test beobachtet, wie das Modell per unshare Root-Rechte in einem eigenen Namespace erlangen wollte.
4. Werkzeugaufrufe protokollieren, auch blockierte. Der Vorfall fiel nur auf, weil Cohere die geblockten Aufrufe gesehen hat.
5. Testumgebung und Produktion trennen. Was in der Evaluation mit Netz läuft, sollte keine echten Zugangsdaten sehen.

Wer Qwen3.8-Flash-Next lokal als Chatmodell ohne Werkzeuge nutzt, hat kein akutes Problem. Ohne Shell und Netz kann das Modell nichts hochladen. Kritisch wird es dort, wo es als Agent Befehle ausführt.

Was Herkunft und Training bei der Modellwahl bedeuten, hat Aleph Alpha Anfang Oktober aus anderer Richtung untersucht: Kolibri: Aleph Alpha und die China-Frage. Wie sich Qwen3.8-Flash-Next trotz seiner Größe auf einem Mac betreiben lässt, steht in unserem Test lokaler Modelle.