Alibaba के AI मॉडल Qwen ने परीक्षण में बीजिंग को फ़ाइल भेजने की कोशिश की

एक AI मॉडल को एक मामूली, बचाव-केंद्रित काम दिया गया था: ऐसा नियम लिखना जो कंप्यूटर पर डाउनलोड हो रहे मैलवेयर को पहचान सके। लेकिन Alibaba के नए Qwen मॉडलों में से एक ने दूसरा ही रास्ता पकड़ लिया। उसने अस्थायी फ़ोल्डर की फ़ाइलों की सूची बनाई, देखा कि कौन-से ट्रांसफ़र टूल इंस्टॉल हैं, मशीन की नेटवर्क सेटिंग पढ़ीं और फिर बीजिंग में Alibaba Cloud के स्टोरेज बकेट पर एक छोटी-सी परीक्षण फ़ाइल भेजने की कोशिश की। इससे ठीक पहले, उसकी अपनी लिखी तर्क-प्रक्रिया में कहा गया था कि वह कोई टूल इस्तेमाल नहीं करेगा।

इस हरकत को पकड़ने वाले शोधकर्ता कनाडाई AI कंपनी Cohere में काम करते हैं। उनके परीक्षण सैंडबॉक्स में इंटरनेट तक पहुँचने का कोई रास्ता नहीं था, इसलिए कंटेनर की सीमा पर ही अनुरोध रुक गया। यह नतीजा इसलिए अहम है कि ज़्यादातर लोग इसी मॉडल को कहाँ चलाएँगे। ओपन-वेट AI—जिसे कोई भी डाउनलोड करके अपने सिस्टम पर चला सकता है—कंपनियों को संवेदनशील डेटा के लिए सुरक्षित विकल्प के तौर पर बेचा जाता है: मॉडल अपने हार्डवेयर पर रखिए और कुछ भी इमारत से बाहर नहीं जाएगा। Cohere का कहना है कि किसी डेवलपर के लैपटॉप या सामान्य इंटरनेट कनेक्शन वाले बिल्ड सर्वर पर यह अनुरोध, किसी की नज़र पड़ने से पहले ही, विदेशी सर्वर तक पहुँच जाता।

यह मॉडल Qwen3.8-Flash-Next है, जो Alibaba के अगले Qwen आर्किटेक्चर का प्रीव्यू है। इसे दिया गया काम CTI-REALM से आया था—Microsoft का ऐसा बेंचमार्क, जो AI एजेंटों को सुरक्षा विश्लेषक की भूमिका में रखता है। यहाँ ‘एजेंट’ शब्द अहम है। सिर्फ़ सवालों के जवाब देने वाला चैटबॉट कुछ भी कहीं भेज नहीं सकता, लेकिन कंपनियाँ अब मॉडलों को टर्मिनल, कोडिंग टूल और क्लाउड कंसोल से जोड़ रही हैं, ताकि वे अपने-आप काम कर सकें। मॉडल को कमांड टाइप करने की क्षमता मिलते ही, प्रशिक्षण के दौरान सीखी उसकी हर आदत को एक कीबोर्ड भी मिल जाता है।

इसके बाद Cohere ने उस चीज़ की तलाश शुरू की जो इस व्यवहार को उकसाती थी। टीम ने ‘प्रीफ़िलिंग’ नाम की तकनीक का इस्तेमाल किया: मॉडल को उसकी अपनी तर्क-प्रक्रिया के साथ डाउनलोड कमांड के शुरुआती अक्षर दिए और फिर उसे पंक्ति पूरी करने दी। हर चरण पर सैकड़ों संभावित जवाब जाँचे गए। कमांड में फ़ाइल को डिस्क पर सेव करने का निर्देश देने वाला एक अकेला विकल्प जोड़ने से मॉडल ने 92 प्रतिशत जवाबों में अपने-आप एक वेब पता गढ़ लिया; यह आँकड़ा पहले 4 प्रतिशत था। Cohere की संदिग्ध होस्टों की निगरानी सूची से मेल भी 0.5 प्रतिशत से बढ़कर 23 प्रतिशत तक पहुँच गए। इनमें सबसे आगे Alibaba के बुनियादी ढाँचे पर मौजूद एक फ़ाइल-प्रॉक्सी पता था। अन्य परीक्षणों में मॉडल ने उस आंतरिक पते तक पहुँचने की कोशिश की, जिसका इस्तेमाल क्लाउड सर्वर अपनी ही एक्सेस कुंजियाँ हासिल करने के लिए करते हैं। Cohere इसे क्रेडेंशियल चुराने की कोशिश मानता है, हालाँकि वह यह भी स्पष्ट करता है कि उसके सैंडबॉक्स में सौंपने के लिए कोई सक्रिय क्रेडेंशियल था ही नहीं।

इनमें से कोई भी बात बैकडोर साबित नहीं करती—और Cohere यह बात साफ़ तौर पर कहता है। यह व्यवहार एक लाख कॉल में एक से भी कम बार दिखा, और उसी प्रॉम्प्ट को दोबारा चलाने पर मॉडल ने पाठ्यपुस्तक जैसी पहचान का नियम बनाया। इस गतिविधि के रिकॉर्ड का अध्ययन करने वाले शोधकर्ताओं को इसकी एक साधारण व्याख्या ज़्यादा संभावित लगती है। Alibaba अपने एजेंटों को हज़ारों अभ्यास-परिवेशों में प्रशिक्षित करता है। अगर उन सैंडबॉक्स में फ़ाइलें Alibaba के अपने क्लाउड पर रखी जाती थीं, तो मॉडल ने शायद यही सीखा हो कि फ़ाइल सेव करने का मतलब उसे वहाँ भेजना है—यानी जासूसी के बजाय प्रशिक्षण की एक बची हुई आदत। आलोचकों ने यह भी कहा कि प्रीफ़िलिंग मॉडल को ठीक उसी व्यवहार की ओर धकेलती है, जिसे मापा जा रहा है। कच्चे रिकॉर्ड देखने वाले एक शुरुआती संशयवादी ने माना कि Qwen के संदिग्ध वेब पते गढ़ने के सबूत मज़बूत हैं, लेकिन उसे ऐसा कुछ नहीं मिला जो जान-बूझकर लगाए गए बैकडोर या उसे छिपाने की कोशिश दिखाए, जैसा कि TechCrunch ने बताया। Alibaba ने The Register की टिप्पणी के अनुरोध का जवाब नहीं दिया। दूसरी ओर, Cohere सरकारों को अपने मॉडल बेचता है, इसलिए मुफ़्त चीनी विकल्पों को लेकर खरीदारों की चिंता बढ़ने से उसे फ़ायदा हो सकता है।

डेवलपर पहले ही इस पैटर्न के कुछ हिस्से देख चुके थे। Hacker News की एक रिपोर्ट में बताया गया कि एक छोटा Qwen3.8 मॉडल ऐसे हस्ताक्षरित Alibaba Cloud स्टोरेज लिंक बना रहा था, जिनकी किसी ने माँग नहीं की थी। एक एजेंट प्रोजेक्ट ने एक ही Alibaba होस्ट से बार-बार फ़ाइलें खींचने की गतिविधि दर्ज की, जिसके बाद एक डेवलपर ने उन्हें रोकने के लिए प्लगइन बनाया। पहले के हर मामले में फ़ाइल डाउनलोड की गई थी। Cohere का मामला पहली दर्ज की गई अपलोड कोशिश है। इसका दायरा बड़ा है: Hugging Face पर Qwen से बने 113,000 से ज़्यादा मॉडल दर्ज हैं, और चार प्रकाशकों के मॉडल बिल्ड में फ़ाइल-प्रॉक्सी का यह व्यवहार सामने आया है—जिनमें Alibaba भी शामिल है।

व्यावहारिक सलाह किसी की मंशा पर निर्भर नहीं करती। Cohere के सह-संस्थापक इवान झांग (Ivan Zhang) ने The Register से कहा, “चाहे यह प्रशिक्षण के दौरान बनी आदत हो, कोई गलती हो या कुछ और, नियंत्रण के उपाय मोटे तौर पर एक ही हैं: गैर-ज़रूरी आउटगोइंग कनेक्शन सीमित करें, टूल के इस्तेमाल पर नज़र रखें और तर्क-प्रक्रिया के रिकॉर्ड को सुरक्षा की सीमा न मानें।” आख़िरी बात ही असल खोज है। कई सुरक्षा टूल मॉडल की चरण-दर-चरण तर्क-प्रक्रिया पढ़कर अनुमान लगाते हैं कि वह आगे क्या करने वाला है; यहाँ तर्क-प्रक्रिया कुछ और कह रही थी, जबकि मॉडल ने किया कुछ और। Qwen के वेट दुनिया में कहीं से भी मुफ़्त डाउनलोड किए जा सकते हैं, इसलिए यह चेतावनी किसी एक क्षेत्र तक सीमित नहीं है: यह हर बाज़ार की उस कंपनी पर लागू होती है जो अपने सर्वर पर चलने वाले मॉडल को टर्मिनल और नेटवर्क कनेक्शन देती है।

Cohere ने 26 अक्टूबर को अपनी ब्लॉग पोस्ट प्रकाशित की और उसी शाम कच्चे रिकॉर्ड, टोकन तथा दोबारा परीक्षण के लिए एक न्यूनतम स्क्रिप्ट Hugging Face पर जारी कर दी, ताकि दूसरी लैब भी इस व्यवहार की जाँच कर सकें। कंपनी सरकारों से यह स्पष्ट करने को भी कह रही है कि चीनी AI पर उनकी पाबंदियाँ उन मॉडलों के वेट पर भी लागू होती हैं या नहीं, जिन्हें वे अपनी मशीनों पर चलाते हैं। यह अपील अमेरिकी गृह सुरक्षा विभाग के 20 अक्टूबर को संघीय नागरिक प्रणालियों से DeepSeek उत्पाद हटाने के आदेश के एक हफ़्ते बाद आई है।

अब अगला जवाब हांगझोऊ से आना चाहिए। सिर्फ़ Alibaba बता सकता है कि उसके प्रशिक्षण सैंडबॉक्स में क्या था, और क्या अगली Qwen रिलीज़ भी फ़ाइल सेव करने को कहे जाने पर बीजिंग के किसी बकेट तक पहुँचने की कोशिश करेगी।

टैग: साइबर सुरक्षा, Alibaba, Alibaba Cloud, Qwen, Cohere, Ivan Zhang