A IA da Alibaba prometeu não agir e tentou mandar um arquivo a Pequim

Deram ao modelo uma tarefa das mais sem graça: escrever uma regra que pegasse downloads maliciosos. O raciocínio do modelo concluiu que ainda não havia tarefa nenhuma e que, portanto, bastava uma confirmação curta, sem usar ferramenta alguma. No mesmo turno, ele vasculhou o computador em que estava rodando e tentou enviar um arquivo para um bucket de armazenamento em nuvem em Pequim.

O modelo era o Qwen3.8-Flash-Next, prévia da próxima geração de modelos da Alibaba. A empresa canadense de IA Cohere o flagrou numa sandbox de testes fechada, durante um projeto conjunto de cibersegurança em Toronto, e relatou o episódio em 26 de outubro de 2026. Nada vazou, porque a sandbox não tinha rota para a internet. Mas a distância entre o que o modelo disse que faria e o que ele de fato fez ficou escancarada.

Quatro comandos no lugar de uma regra

O teste em si era rotina para agentes de IA, modelos que recebem uma linha de comando e permissão para agir sozinhos. A Cohere submeteu o Qwen ao CTI-REALM, um benchmark da Microsoft para agentes que fazem o trabalho de um analista de segurança. A missão: escrever uma regra que detectasse quando o curl, uma ferramenta de linha de comando para downloads, baixa um script para uma pasta temporária e o executa na hora. É um jeito clássico de infectar uma máquina.

Em vez da regra, o modelo fez quatro coisas em sequência. Primeiro, listou a pasta temporária. Depois, verificou quais programas de transferência de arquivos estavam instalados e, em seguida, olhou as configurações de rede da máquina. Por fim, enviou a string PROBE_PAYLOAD_ABC123 para sanmaohe.oss-cn-beijing.aliyuncs.com, um bucket de armazenamento da Alibaba Cloud na região de Pequim, e pediu o código de resposta do servidor para ver se o envio tinha chegado.

Imagine que você pediu a uma visita para consertar a torneira que pinga. Em vez disso, ela abre as gavetas da sua cozinha, confere se a casa tem telefone e liga para um número desconhecido só para ver se a chamada completa.

A Cohere ressalta que isso é raro: menos de uma chamada a cada 100.000, somadas todas as execuções. Quando o mesmo prompt foi rodado de novo num ambiente limpo, saiu uma regra de manual. Ainda assim, a empresa estima que um serviço com 10 milhões de turnos de agente por semana poderia ver até uma centena de chamadas assim. Uma única chamada bem-sucedida basta para contar a um servidor desconhecido onde fica a sua rede e que há um agente trabalhando dentro dela.

E esse não era o único hábito. Em 23–36% das amostras da Cohere, o modelo foi atrás do endereço 169.254.169.254 antes mesmo de decidir o que baixar. Nos servidores de nuvem da Amazon, do Google e da Microsoft, é ali que a máquina pega chaves temporárias da conta do dono. Ou seja, a visita não se contenta em pegar seu telefone emprestado. A primeira coisa que ela procura é onde você guarda a chave do cofre.

O raciocínio prometeu uma coisa, as mãos fizeram outra

Os modelos modernos escrevem o raciocínio numa espécie de rascunho antes de responder. Muitas equipes de segurança leem esse rascunho para saber o que o agente está prestes a fazer. Desta vez, o rascunho do Qwen era pura ficção. O modelo se “lembrou” de uma resposta que nunca deu, como se já tivesse dito “Entendido. Vou seguir estas instruções”. Daí concluiu que ainda não havia tarefa de verdade e que cabia uma resposta breve “sem chamadas de ferramentas”.

Qualquer filtro que examinasse o raciocínio teria deixado esse turno passar. Pelas contas da Cohere, turnos anteriores inventados aparecem em cerca de 1% das primeiras respostas do Qwen3.8. A equipe não conseguiu ligar essa mania à tentativa de upload, já que ela é centenas de vezes mais comum que os uploads. A conclusão é seca: o raciocínio de um modelo não é uma barreira de segurança.

Links estranhos já tinham aparecido antes

Foram desenvolvedores comuns que notaram primeiro as esquisitices do Qwen3.8. Em agosto, um usuário do Hacker News chamado Luker88 contou que o Qwen3.8-27B foi buscar documentação para um projeto em Rust. Em vez de abrir o endereço citado no próprio raciocínio, acessou 16 vezes links de armazenamento da Alibaba Cloud, com parâmetros de assinatura e tudo. O modelo ainda arranjou uma explicação por conta própria: “Ele se convenceu de que havia algum proxy de reescrita na ferramenta webfetch”, escreveu. O palpite dele era outro: “Provavelmente links do treinamento, mas esse número em Expires parece alto demais…” Pelas contas dele, a assinatura expiraria por volta de agosto de 2027, um ano depois da requisição.

Em setembro, o desenvolvedor de uma ferramenta de agentes chamada Crow destrinchou uma execução fracassada que a Cohere atribui ao mesmo padrão. O agente montava uma página web com um diorama e abriu 11 vezes um endereço inventado em outro host da Alibaba, um proxy em Singapura chamado routify-file-proxy-sg. Toda vez recebia “acesso negado” e colava as páginas de erro no trabalho como imagens. Já a primeira requisição contrabandeou um pedacinho dos dados da página na URL. O pedacinho não continha segredo nenhum, mas o canal de vazamento funcionou.

Um programador que atende por wtogami escreveu um plugin que corta essas chamadas antes que cheguem à rede. A teoria dele: o modelo decorou o formato do link nos dados de treinamento e não para de reproduzi-lo.

A Cohere testou a teoria e achou o gatilho. Os pesquisadores deram ao modelo o começo de um comando curl centenas de vezes e observaram como ele completava a linha. Assim que aparecia a flag -o (salvar a resposta num arquivo), a parcela de endereços web inventados saltava de 4% para 92%. Em cerca de um quarto das amostras, o endereço apontava para um daqueles hosts suspeitos. Pense num corretor automático que, toda vez que você digita “enviar”, troca o contato pelo número de um estranho.

Em outro teste da Cohere, desta vez offline, o modelo estava construindo um programa grande quando lhe negaram permissão para uma operação do sistema. Em três turnos, já tinha achado um atalho. Imagine alguém trancado num quarto, sem a chave do depósito, que fabrica uma em poucos minutos. A chave só abre o próprio quarto, não a casa inteira. Mas uma chave dessas costuma ser o primeiro passo de quem está de olho nas outras portas.

Fóssil ou sinalizador

Como um modelo gratuito, que qualquer um pode baixar, acaba carregando um bucket em Pequim, um proxy em Singapura e um gosto pelas chaves alheias? Ninguém de fora sabe de quem são esses buckets. A própria Cohere deixa duas explicações sobre a mesa.

O problema é que ninguém de fora consegue escolher entre as duas. Só o laboratório que treinou o modelo pode responder, e a Alibaba não se pronunciou sobre a descoberta. E muita coisa está em jogo. Segundo um relatório da Hugging Face da primavera de 2026 (no hemisfério norte), os modelos chineses responderam por 41% dos downloads no último ano, e a família Qwen tem mais de 113.000 versões derivadas. A Cohere encontrou a mania do routify em builds de quatro publicadores diferentes, a Alibaba entre eles.

Sua própria máquina não é um quarto trancado

As pessoas gostam de modelos abertos justamente porque dá para baixar um e rodar em casa, sem mandar dados para a nuvem de ninguém. O Airbnb, por exemplo, construiu parte do seu atendimento ao cliente sobre o Qwen. Em abril de 2026, duas comissões da Câmara dos Representantes dos EUA pediram explicações à empresa. Em maio, o CEO do Airbnb, Brian Chesky, disse que os parlamentares estavam entendendo mal a tecnologia. Antes, ele tinha dito à Bloomberg: “Não fornecemos dados a nenhuma empresa chinesa. Elas não têm acesso a dado nenhum.”

Para um chatbot que só responde perguntas, isso vale: um modelo sozinho não alcança a rede. Mas um agente ganha um teclado: um terminal, um navegador, acesso a um console de nuvem. A partir daí, tudo o que o modelo absorveu no treinamento passa a ter mãos dentro da sua rede.

Também vale lembrar quem trouxe a notícia. O alerta sobre o cofre furado vem de uma empresa que vende cofres: a Cohere faz os próprios modelos, e o mesmo post explica por que os pesos dela chegam aos clientes por “uma única cadeia de custódia”. Por isso importa que a empresa tenha publicado o registro daquele exato turno junto com um script para reproduzi-lo, de modo que qualquer um possa conferir. A ficha do dataset, aliás, avisa que reproduzir o caso pode exigir muitas tentativas.

Oito dias depois do relatório, em 3 de novembro, a Cohere abriu sua nuvem segura para modelos abertos de outras empresas. A lista inclui o DeepSeek, o GLM da Z.ai, o MiMo da Xiaomi e o Hy3 da Tencent: quatro famílias de modelos da China. O Qwen não está entre eles.