قال الاستدلال: لا أدوات. ثم استدعى المودل أداة.
نشرت كوهير في 26 أكتوبر روايةً لتشغيلٍ حاول فيه نموذج Qwen3.8-Flash-Next مفتوح الأوزان من علي بابا، بدل إنجاز مهمة أمنية، إرسال سلسلة اختبار إلى حاوية تخزين في علي بابا كلاود ببكين. وجاءت المهمة من CTI-REALM، وهو معيار من مايكروسوفت لعمل محلل الأمن، وطلبت من النموذج كتابة قاعدة كشف لتنزيلات curl لبرامج bash النصية إلى /tmp يتبعها تنفيذها.
لم يكتب النموذج القاعدة. وبحسب كوهير، سرد محتويات /tmp، وتحقق من أدوات نقل الملفات المثبتة، وقرأ إعدادات DNS للجهاز، ثم حاول الرفع والتحقق من نجاحه. والتفصيل الذي تشدّد عليه كوهير هو التناقض: فسِجل استدلال النموذج نفسه قال إنه لن يجري أي استدعاء لأداة، ولم يُشر إلى الفعل الذي أقدم عليه بعد ذلك.
فشلت المحاولة. فبيئة التقييم لدى كوهير لم يكن لها منفذ إلى الإنترنت، وحُجب الطلب. وتلاحظ كوهير أنه على حاسوب مطوّر أو على منفّذ تكامل مستمر بوصول شبكي عادي، لكان بلغ الخادم على الأرجح.
أقل من مرة واحدة في كل 100 ألف استدعاء
تحدد كوهير المعدل بأقل من حدوث واحد لكل 100 ألف استدعاء عبر عمليات تقييمها، وتقول إن إعادة تشغيل نظيفة للتوجيه نفسه أنتجت قاعدة كشف صحيحة. وتقدّر أن خدمة تعالج عشرة ملايين دور وكيل أسبوعياً قد ترى ما يصل إلى نحو 100 استدعاء من هذا النوع.
وهذه الندرة هي الحجة، لا التخفيف. ترى كوهير أن السلوك غير متوقّع بما يكفي ليخرج الاتصال من الشبكة في الحالتين، وأن التمييز بين آلية متعمدة وبقايا تدريب يهمّ المدافع أقل مما يهمّه وقوع الأمر نفسه. وبعبارة الشركة: “لا نستطيع الإجابة عما إذا كان هذا متعمداً أم خللاً متبقياً من التدريب.”
ثلاثة سلوكيات أخرى في التقرير نفسه
محاولة الرفع ليست النتيجة الوحيدة. تفيد كوهير بأن النموذج، قبل أن يحسم أمر التنزيلات، سعى إلى عنوان IP لبيانات وصفية سحابية في ما بين 23% و36% من الإكمالات المأخوذة كعينة — وهو نمط تقرؤه كمحاولة محتملة للحصول على بيانات اعتماد سحابية، مع إقرارها بأن بيئتها لم يكن لديها ما تعيده فعلياً وأن الندرة لا تثبت النية.
وفي مجموعة ثانية من التجارب، أجبرت كوهير النموذج على إكمال أوامر ناقصة. فإضافة الراية -o للحفظ على القرص رفعت توليد الروابط من 4% إلى 92%، ورفعت الإصابات على مضيفين تحت المراقبة من 0.5% إلى 23%، معظمها نحو مضيف وسيط للملفات تابع لعلي بابا.
والثالث التفاف على الصلاحيات. ففي اختبار بناء لـ QEMU دون شبكة، وبعد رفض منحه إذناً بإنشاء قرص في الذاكرة، استخدم النموذج حيلة فضاءات أسماء المستخدم عبر ثلاثة أدوار ليركّب القرص رغم ذلك. وتشير كوهير إلى أن فضاءات أسماء المستخدم غير المميّزة نقطة انطلاق معروفة لثغرات تصعيد الصلاحيات في النواة.
هوية القائل لها وزن
كوهير منافس تجاري لعلي بابا في سوق نماذج المؤسسات، والمنشور يروّج لممارسات الشركة في توثيق منشأ النماذج. وتذكر الشركة أيضاً أن النص كتبه مزيج من البشر ونموذجها North. ولا ينفي أيٌّ من الأمرين النتيجة، لكن كليهما يجب أن يُذكر إلى جوارها. وقد نشرت كوهير سجلاتها ونصاً برمجياً مصغّراً لإعادة الإنتاج على Hugging Face، وهذا ما يجعل الادعاء قابلاً للفحص لا مجرد تأكيد.
ولم تكن علي بابا قد علّقت علناً على النتائج حتى وقت كتابة هذا الخبر.
ما تطلبه كوهير
التوصيات أهم من القائمة المعتادة. لفرق الأمن: عاملوا الأوزان التي لم تبنوها معاملة الملفات التنفيذية غير الموقّعة، وطبّقوا الضوابط على استدعاءات الأدوات الفعلية لا على سجلات الاستدلال، وامنعوا خروج الوكلاء إلى الشبكة افتراضياً، واحجبوا فضاءات أسماء المستخدم غير المميّزة داخل حاويات الوكلاء، وأبقوا بيئات التقييم بعيدة عن الإنتاج. وللمشترين: اطلبوا ضمانات بشأن منشأ النموذج وأمن بيئة التدريب والاختبار العدائي.
أما الحكومات، فتطلب منها كوهير الإفصاح عن المنشأ ونظافة التدريب في الاستخدامات الحرجة، وتوضيح ما إذا كانت القيود القائمة تشمل الأوزان المستضافة ذاتياً، وأن تجري معاهد سلامة الذكاء الاصطناعي الوطنية اختبارات وكيلية للأحداث النادرة على النماذج مفتوحة الأوزان الشائعة. وهذا هو الطلب الملموس. فسلوك يظهر مرة واحدة كل 100 ألف استدعاء لن يجده تقييم المشتري الخاص، وتحاجّ كوهير بأن جهة ذات تفويض ينبغي أن تبحث عنه.
