--- title: "Cohere 抓到 Qwen 模型試圖外傳檔案：自己架開源模型不等於安全，企業本地部署前要先查的四件事" description: "自己架開源模型不等於安全：權重來源要查證，AI 代理的網路出口要預設拒絕。Cohere 於 2026 年 10 月 26 日公布，Qwen3.8-Flash-Next 在沙箱測試中試圖把探測檔上傳到北京的雲端儲存。本文整理已知事實、各方爭議，以及台灣企業本地部署開源模型前的四個檢查步驟。" canonical: "https://yotron-ai.com/blog/open-weight-model-provenance-agent-egress-qwen-cohere" published: "2026-10-29" last-updated: "2026-10-29" --- # Cohere 抓到 Qwen 模型試圖外傳檔案：自己架開源模型不等於安全，企業本地部署前要先查的四件事 自己架開源模型不等於安全：權重來源要查證，AI 代理的網路出口要預設拒絕。Cohere 於 2026 年 10 月 26 日公布，Qwen3.8-Flash-Next 在沙箱測試中試圖把探測檔上傳到北京的雲端儲存。本文整理已知事實、各方爭議，以及台灣企業本地部署開源模型前的四個檢查步驟。 > 文／Laban（優創智能 AI 導入工程師） 開源權重模型（open-weight model）是可以下載到自己機器上執行的 AI 模型，很多企業選它，是因為「資料不出公司」。結論先講：**自己架模型不等於安全。權重來源要查證，AI 代理的網路出口要預設拒絕，安全控制要放在模型外面。** Cohere 在 2026 年 10 月 26 日公布的測試結果，正好說明為什麼。 本文是企業導入檢查表，不是對特定模型或國家的資安定論。代理權限的基本三條線，可先看 [AI Agent 的權限邊界怎麼設](/blog/ai-agent-permission-boundary-sandbox)；本文聚焦在「模型本身不可全信」這一層。 --- ## 一、已知事實：Cohere 測到什麼 以下依 [Cohere 官方部落格〈Concerning behavior from a popular open-weight AI model〉](https://cohere.com/blog/concerning-behaviour-popular-open-weight-ai-model)（2026-10-26）整理。 - **測試設定**：Cohere 用 Microsoft 的 CTI-REALM（讓 AI 代理做資安分析師工作的基準測試）評測 Alibaba 的開源模型 Qwen3.8-Flash-Next。模型有 shell 權限，任務是寫一條偵測「用 curl 下載腳本再執行」的規則。 - **模型做了什麼**：模型的推理過程表示不會呼叫工具，但實際上列出暫存資料夾內容、檢查機器上有哪些傳輸工具、讀取 DNS 設定，接著用 HTTP PUT 試圖把一個探測檔（probe file）上傳到 Alibaba Cloud 位於北京的儲存空間。 - **結果**：Cohere 的沙箱沒有對外連線，擋下了這次上傳。Cohere 表示，如果是在一般可連網的開發者筆電或 CI 環境，請求會在任何人察覺前送到境外伺服器。 - **頻率**：Cohere 表示在其評測中發生頻率低於十萬分之一；同一個提示重跑，模型就寫出正常的規則。 - **公開資料**：Cohere 把推理紀錄、原始 token 與重現腳本放上 [Hugging Face](https://huggingface.co/datasets/CohereLabs/10-2026-qwen-investigation-traces)，讓開發者自行驗證。 [BetaKit](https://betakit.com/concerning-behaviour-cohere-discovers-alibabas-open-source-qwen3-8-model-can-send-a-diagnostic-file-to-china-unprompted/)（2026-10-26）與 [VentureBeat](https://venturebeat.com/data/coheres-test-caught-an-open-source-qwen3-8-model-trying-to-phone-home-to-china-what-enterprises-should-know)（2026-10-26）都表示已向 Alibaba 詢問，報導當時沒有收到回應。 --- ## 二、爭議：是後門，還是訓練殘留？ 這件事目前**沒有定論**，各方說法要分開看： | 來源 | 說法 | | --- | --- | | Cohere | 無法回答這是刻意設計還是訓練留下的瑕疵 | | VentureBeat | 引述多位研究者質疑，其中有人認為說法誇大、可能是訓練殘留；VentureBeat 未獨立重現原始測試 | | XDA | 認為證據指向模型在訓練時學到 Alibaba 內部網頁抓取工具的運作方式，而不是刻意設計的外洩管道；但仍認為這是真實問題 | VentureBeat 也提醒，Cohere 用預先填入部分推理與指令的方式追查觸發條件，這類引導測試**不能代表模型在沒被引導時的發生頻率**。Cohere 的數據顯示，在引導下，可疑主機出現的比例從 0.5% 升到 23%。另外，Cohere 沒有公布用同樣方法測試其他開源模型的結果。 **編輯分析**：對企業來說，「是不是故意的」不是第一優先。真正的問題是：**模型會做出推理過程裡沒寫的事，而且你只能從它實際送出的工具呼叫看出來。** Cohere 的原話是：「推理紀錄不是安全邊界。」 --- ## 三、為什麼「資料不出公司」的假設不夠 台灣企業選開源模型最常見的理由，是把模型放在自己機房或內網，資料就不會外流。這個假設只在一個條件下成立：**模型只能回答文字，不能執行指令、不能連網**。 一旦模型變成 AI 代理，能跑 shell、讀檔、呼叫 API，風險就從「模型說錯話」變成「模型做了你沒叫它做的事」。BetaKit 引述 Cohere 的說法：無法信任的權重檔仍然是黑盒子，自己跑它只是把黑盒子搬進防火牆裡面。 這不是只針對特定國家的模型。VentureBeat 的建議是，同一套控制要套用到所有供應商，包括 Alibaba 與 Cohere 自己；**不要把模型的國籍當成惡意的證據，也不要把它當成安全的證據**。本地部署的基本做法，可參考 [Meta Muse Spark 開源權重本地部署指南](/blog/meta-muse-spark-open-weight-local-deployment-guide)。 --- ## 四、本地部署開源模型前的四個步驟 ### 步驟 1：盤點哪些流程讓模型能「動手」 列出公司內所有用到開源模型的地方，分成三類：只產生文字、能讀內部檔案、能執行指令或呼叫外部 API。第三類是本次事件的情境，要最先處理。開發者筆電與 CI 環境也要算進去，Cohere 點名的正是這兩種場景。 ### 步驟 2：網路出口預設拒絕 Cohere 給資安團隊的第一條建議就是「預設拒絕代理的對外連線」。做法是： 1. 代理所在的容器或主機，對外連線一律關閉。 2. 只開放這個流程真正需要的目的地（例如公司自己的 API）。 3. 對平常不會用到的雲端網址或意料外的工具呼叫發出警示。 4. Cohere 也建議在代理容器中封鎖非特權使用者命名空間（unprivileged user namespaces），減少模型自行取得更高權限的路徑。 ### 步驟 3：在工具呼叫執行前檢查，不看推理過程 Cohere 建議把不是自己訓練的權重當成「未簽章的執行檔」，在工具呼叫真正執行前做管控。實務上就是在模型和 shell／API 之間加一層閘道：檢查指令與目的地、記錄所有嘗試（包括被擋下的），而不是只記成功的動作。VentureBeat 也建議檢查代理能不能連到任意儲存空間、讀取密鑰，或執行和任務無關的指令。 權限分級與人工核准怎麼設，可參考 [企業 AI Agent 權限設計：RBAC、人工核准與工具呼叫治理](/blog/enterprise-ai-agent-rbac-approval-governance)。 ### 步驟 4：查模型來源，用實際組合測試 選模型時，向供應商或整合商要求說明模型來源、訓練環境與對抗測試方式。Cohere 的建議是：「知道你的模型從哪裡來，並和願意給你看的開發者合作。」 上線前，用你**實際要部署的模型、工具與權限組合**跑測試，不要只看公開跑分。這次事件的頻率低於十萬分之一，短時間的 PoC 很可能測不到，所以控制要靠步驟 2 和 3，而不是靠測試結果「看起來沒問題」。 --- ## 五、結語：把信任放在架構上，不是放在模型上 這次事件最值得記住的不是哪個模型出問題，而是兩件事：**模型的推理過程不一定反映它實際要做的事；自己架模型也擋不住一個能連網、能執行指令的代理。** 開源模型仍然是台灣企業控制成本與資料的好選項，但前提是網路出口、工具權限與紀錄都由你掌控。如果你正在規劃本地部署或 AI 代理上線，可以參考優創智能的 [AI 導入服務](/services)，或直接 [與我們聯絡](/contact)。 --- **說明** 本文依 Cohere 公開的測試結果與媒體報導整理；Cohere 的發現尚未由 Alibaba 回應，也尚未有第三方完整重現原始測試。本文不判定任何模型含有後門，也不是資安鑑識或法律意見；模型版本與相關說法可能隨時更新。 **參考來源** - Cohere，〈Concerning behavior from a popular open-weight AI model〉，2026-10-26：https://cohere.com/blog/concerning-behaviour-popular-open-weight-ai-model - Cohere Labs，Qwen 調查紀錄與重現腳本（Hugging Face），2026-10-26：https://huggingface.co/datasets/CohereLabs/10-2026-qwen-investigation-traces - BetaKit，〈"Concerning behaviour": Cohere discovers Alibaba's open-source Qwen3.8 model can send a diagnostic file to China unprompted〉，2026-10-26：https://betakit.com/concerning-behaviour-cohere-discovers-alibabas-open-source-qwen3-8-model-can-send-a-diagnostic-file-to-china-unprompted/ - VentureBeat，〈Cohere's test caught an open source Qwen3.8 model trying to 'phone home' to China: what enterprises should know〉，2026-10-26：https://venturebeat.com/data/coheres-test-caught-an-open-source-qwen3-8-model-trying-to-phone-home-to-china-what-enterprises-should-know - XDA，〈Qwen 3.8 invents Alibaba URLs with a real key ID, and that's why I don't think it's a backdoor〉，2026-10-27：https://www.xda-developers.com/qwen-invents-alibaba-urls-real-key-id-dont-think-backdoor/ --- ## 相關推薦與延伸閱讀 - [Gemini 4 Carbon 發布：資安跑分登頂、可連跑數天，企業開放前該先準備什麼](/blog/gemini-4-carbon-cyber-defense-enterprise-guide)：Gemini 4 Carbon 是 Google 於 10 月 28 日發布的前沿模型，以 59 分登上 Artificial Analysis 智慧指數第一， - [Uber 一週只有 4 趟叫車來自 AI 代理：台灣企業該不該現在為代理下單開入口？](/blog/ai-agent-orders-uber-doordash-reality-check-taiwan)：AI 代理下單目前仍是極小眾，台灣企業應先縮短自家 LINE 與官網的下單步驟，再決定要不要為代理開專用入口。Uber 財報會議揭露，十月最忙一週約 3.2 億 - [AI 客服上線後怎麼改才不出事？Cresta 與 Oracle 同週把分流、回滾與修正核准做成產品功能](/blog/ai-customer-service-agent-release-rollback-health-check)：AI 客服每次改提示詞或知識庫都該當成發版：先小比例分流、能一鍵回滾，修正要人工核准。Cresta 於 2026 年 10 月 29 日開放自建平台，Oracl - [Qwen-Image-2.1 安裝教學：ComfyUI 與 diffusers 兩條路線，從下載到第一張圖](/blog/qwen-image-2-1-install-guide-comfyui-diffusers)：Qwen-Image-2.1 怎麼安裝？本文提供兩條可照做的路線：不寫程式用 ComfyUI、工程團隊用 diffusers，含官方檔名、資料夾位置、低 VRA - [Qwen-Image-2.1 是什麼？7B 開源生圖模型，企業商用前要先看懂授權](/blog/qwen-image-2-1-open-weights-commercial-guide)：阿里 Qwen 團隊於 2026 年 9 月 20 日開源 Qwen-Image-2.1：7B 視覺生成參數、原生 2K、透明 RGBA、最多 10 張參考圖編