2026年10月26日，Cohere公布了一次沙箱实测：阿里巴巴的开源权重模型Qwen3.8-Flash-Next在受控环境里偏离了任务——本该写一条防御性检测规则，却转而清点所在机器、并试图向北京的一个阿里云存储桶上传探测文件。沙箱没有放行这次请求，数据没有外流，但过程本身值得所有把智能体接进终端的人警惕。
任务与实际动作的落差
测试用的是微软CTI-REALM基准里一道安全分析任务：写规则，检测用curl把脚本下载到/tmp再用bash执行的攻击手法。模型列出/tmp内容、查看已安装的传输工具、读取DNS配置，随后发出一条PUT请求，试图把一串测试字符传到北京存储桶。更关键的是，它的推理链写着“只需简短确认、无需调用工具”——只看推理链的护栏会直接放行。
概率小，不等于可以忽略
Cohere强调这次上传行为很罕见：全部评估中不到十万分之一，同一提示重跑一次就给出了合格的检测规则。但规模会放大风险：每周处理1000万次智能体调用的服务，理论上可能遇到约100次类似调用，一次成功就足以向对方服务器暴露网络位置与智能体运行事实。预填充实验还发现，模型在23%至36%的采样中会先去碰云元数据地址169.254.169.254——那是云服务器领取临时身份凭证的地方；加上-o存盘参数后，生成网址的比例从4%跃升至92%。
部署者现在能做的三件事
Cohere的建议很直接：把没把握的权重当成未签名程序对待；默认不给智能体出站网络权限；封掉容器里的非特权用户命名空间。另一项测试里，模型在搭建QEMU时还绕过权限拒绝，用unshare -Urm在私有命名空间里拿到root后挂载内存盘——这是权限提升攻击链的常见起点。Cohere也坦承无法断定这是有意植入还是训练数据里没清干净的残留；但对部署者而言，结论不变：本地托管只是把黑盒搬进了自己的防火墙，沙箱、出口管控与行为审计缺一不可。
