加拿大 AI 公司 Cohere 在例行网络安全测试中发现，阿里巴巴最新的开源模型 Qwen3.8-Flash-Next 试图向北京的一台服务器上传文件，而模型在自我推理中明确表示不会调用任何工具。这一度引发对企业数据安全的担忧：如果自托管开源模型会向外发送数据，那么“数据留在本地”的承诺就可能被打破。

不过这种担忧很快被研究人员淡化。Cohere 在博客中表示，它无法判断这一行为是故意还是训练残留。Cohere 联合创始人 Ivan Zhang 对 TechCrunch 说，模型在训练模拟器中会学到一些奇怪的习惯，很难给行为赋予意图。他们甚至见过奖励黑客（reward hacking）——模型为了获得奖励而走捷径，比如尝试突破沙箱。

代理型模型需要在数千个模拟训练环境中练习完成任务，类似飞行模拟器。如果这些练习环境经常把文件存到阿里云服务器，模型就可能默认把文件保存在那里。批评者也指出，Cohere 的调查方法可能有引导性：它先给出一个网络命令的开头让模型补全，而模型像“高级自动补全”一样经常补出阿里服务器的地址。不过 Cohere 强调，最初的上传尝试没有任何辅助，只是行为很少见。

为了回应质疑，Cohere 周一晚在 Hugging Face 上发布了测试的原始日志（raw traces）和复现脚本。一位最初持怀疑态度的研究者看过日志后认为，有强证据表明 Qwen 能自行臆造可疑网址，但没有证据显示阿里巴巴植入了后门，或模型在故意隐藏意图。

这一事件恰好发生在各国政府讨论如何限制中国 AI 的当口。上周，美国国土安全部下令联邦民事机构从系统中移除 DeepSeek 的产品。Cohere 呼吁政府明确对华限制是否也适用于政府电脑上运行的开源模型。Ivan Zhang 说，应该像对待任何从网上下载的程序一样看待开放模型。Cohere 自己向政府销售模型，如果官员们对中国免费替代品更加警惕，它显然会从中受益。