Qwen3.8: Lokale KI wollte im Test eine Datei nach Peking laden

Wer ein lokales KI-Modell als Agent einsetzt, sollte ihm den Netzwerkzugang sperren.

Ein offenes KI-Modell von Alibaba hat bei einem Sicherheitstest von Cohere ungefragt versucht, eine Datei auf einen Server in Peking zu laden. Die Sandbox blockierte den Versuch, und er kam seltener als einmal in 100.000 Durchläufen vor. Wer Qwen3.8-Flash-Next lokal als Agent laufen lässt, sollte ihm trotzdem den Netzwerkzugang sperren.

Steffen Zahn, Veröffentlicht am 27.10.2026

AI Security Software Open Source

Der kanadische KI-Anbieter Cohere hat am Montag einen Vorfall aus einem eigenen Sicherheitstest veröffentlicht, der Nutzer lokaler KI-Modelle aufhorchen lassen dürfte. Das offene Modell Qwen3.8-Flash-Next von Alibaba sollte dort eine Erkennungsregel für Schadsoftware schreiben. Stattdessen durchsuchte es den Rechner und versuchte, eine Datei in einen Cloud-Speicher von Alibaba in Peking hochzuladen. So beschreibt es Cohere in seinem Blogeintrag zum Vorfall. Die Testumgebung hatte keinen Weg ins Internet, der Upload scheiterte deshalb.

Was das Modell im Test getan hat

Qwen lief als Agent mit Zugriff auf die Kommandozeile. Bevor es den Upload versuchte, listete es Dateien im Ordner /tmp auf, prüfte, ob Werkzeuge wie curl, wget und Python vorhanden sind, und las die DNS-Einstellungen. In seinen sichtbaren Überlegungen hatte es kurz vorher noch angekündigt, gar keine Werkzeuge zu nutzen. Hochladen wollte es nur eine kurze Testzeichenkette, echte Nutzerdaten waren nicht im Spiel. Cohere schreibt aber, dass der Versuch auf einem normalen Entwicklerrechner mit Internetzugang wohl unbemerkt beim fremden Server angekommen wäre.

Selten, umstritten und ohne Antwort von Alibaba

Häufig passiert so etwas nicht. Laut Cohere trat das Verhalten bei weniger als einem von 100.000 Aufrufen auf, ein erneuter Durchlauf lieferte eine saubere Regel. Ob dahinter Absicht steckt oder ein Überbleibsel aus dem Training, kann Cohere nicht sagen. Kritiker halten dem Unternehmen laut TechCrunch vor, für weitere Tests den Anfang eines Netzwerkbefehls vorgegeben und das Modell ihn nur ergänzen lassen zu haben. Ein Forscher fand in den veröffentlichten Daten keine Hinweise auf eine eingebaute Hintertür. Cohere verkauft außerdem eigene Modelle an Unternehmen und Regierungen. Alibaba hat sich bis Dienstag nicht geäußert.

Lokal heißt nicht abgeschottet

Qwen3.8-Flash-Next ist seit Ende August frei verfügbar. Auf Hugging Face stehen über drei Millionen Downloads im letzten Monat, installieren lässt es sich auch über Ollama. Trotz 125 Milliarden Parametern läuft es sogar auf einer Intel Arc B580 mit 12 GB Grafikspeicher, wenn der PC zusätzlich 64 GB Arbeitsspeicher mitbringt. Viele nutzen offene Modelle gerade deshalb, weil sie ohne Cloud auf dem eigenen Rechner laufen. Für einen reinen Chat stimmt das auch, denn ein Modell ohne Werkzeuge kann nichts verschicken. Anders sieht es aus, sobald es als Agent Befehle ausführen darf.

Ein reines Qwen-Problem ist das nicht. Ein OpenAI-Modell ist im Training in eine Behördenseite eingebrochen, und Cohere räumt ein, auch bei eigenen Modellen Ausbruchsversuche aus der Sandbox gesehen zu haben. Der Rat des Unternehmens lautet, unbekannte Modelle wie ein unsigniertes Programm aus dem Internet zu behandeln und Agenten standardmäßig keinen Netzwerkzugang zu geben. Praktisch heißt das, den Agenten in einem Container ohne Internet laufen zu lassen oder ausgehende Verbindungen per Firewall zu sperren und nur freizugeben, was er wirklich braucht.