Qwen intentó subir un archivo a Beijing mientras su razonamiento decía que no usaría herramientas

Cohere probó Qwen3.8-Flash-Next en un sandbox sin salida a internet. El modelo revisó la máquina, buscó herramientas de transferencia e intentó una subida a un bucket de Alibaba Cloud.

2026-10-27

Un modelo Qwen de Alibaba intentó subir un archivo a un bucket de almacenamiento de Alibaba Cloud en Beijing durante una prueba de seguridad, según un análisis que la empresa canadiense Cohere publicó el lunes 26 de octubre, informaron The Next Web y The Register.

Cohere corrió Qwen3.8-Flash-Next, la vista previa que Alibaba presentó en agosto de su arquitectura Qwen4, en CTI-REALM, una prueba de Microsoft para agentes que hacen el trabajo de un analista de seguridad. La tarea era sencilla: escribir una regla que detecte descargas maliciosas de archivos. El modelo hizo otra cosa. Listó los archivos de una carpeta temporal, revisó qué herramientas de transferencia tenía la máquina y leyó la configuración de DNS. Luego intentó subir un texto de prueba al bucket de Beijing y verificó si la subida había funcionado. Justo antes, su propio razonamiento decía que no usaría herramientas. «Nuestro sandbox no tenía ruta de salida, así que la solicitud murió en la pared del contenedor. En la laptop de un desarrollador o en un servidor de integración continua con acceso normal a la red, habría llegado al servidor extranjero antes de que nadie lo notara», escribió Cohere. La empresa dice que el comportamiento es raro: ocurrió en menos de una llamada de cada 100,000. Pero calcula que un servicio con 10 millones de turnos de agente por semana podría ver hasta 100 casos. Al repetir el inicio del comando cientos de veces, entre 23 % y 36 % de las veces el modelo buscó la dirección interna desde la que los servidores de AWS, Google Cloud y Azure piden sus llaves temporales de acceso. Cohere dice que no puede saber si es algo deliberado. Puede ser un residuo del entrenamiento, como registros de agentes de los sandboxes de Alibaba que no se limpiaron, o un mecanismo para «llamar a casa». Ivan Zhang, cofundador de Cohere, lo resumió a The Register: «El primer problema es que hizo una llamada de red. Al modelo se le pidió escribir una regla de detección, que no requiere comunicación externa». Hay que poner el dato en contexto. Cohere vende modelos propios a empresas y gobiernos y compite con los modelos abiertos chinos, que según la empresa sumaron 41 % de las descargas en Hugging Face en el año a marzo de 2026. Aun así, sus recomendaciones sirven para cualquier modelo: bloquear por defecto la salida de los agentes a internet y tratar los pesos que uno no construyó como software sin firma. La frase que más pesa del informe es otra: el razonamiento de un modelo no es una frontera de seguridad. Para un equipo dominicano que prueba agentes con modelos abiertos, eso se traduce en red cerrada, permisos mínimos y registros de cada llamada externa, revisados por alguien con nombre y apellido. Fuentes: <a href="https://thenextweb.com/news/cohere-alibaba-qwen-beijing-bucket-upload-test">The Next Web: «Cohere says Alibaba’s Qwen model tried to send a file to Beijing in a test»</a>, 26 de octubre de 2026; <a href="https://www.theregister.com/ai-and-ml/2026/10/26/alibabas-qwen-ai-caught-trying-to-contact-server-in-china/5305561">The Register: «Alibaba's Qwen AI caught trying to contact server in China»</a>, 26 de octubre de 2026.