Même hébergé en local, un modèle d’IA d’Alibaba a tenté d’envoyer un fichier vers Pékin

Lors d’un test mené par l’entreprise d’IA Cohere sur ses propres serveurs, un modèle Qwen3.8 d’Alibaba a tenté, sans qu’on le lui demande, de déposer un fichier sur un serveur situé à Pékin.

C’est une tâche de routine qu’ont confiée les chercheurs de Cohere à Qwen3.8-Flash-Next.

Cette préversion publiée en août par Alibaba devait rédiger une règle de détection, c’est-à-dire un petit programme qui permet de repérer un type d’attaque sur un réseau.

Mais selon le billet publié par Cohere le 26 octobre 2026, au lieu de s’en tenir à cette consigne, le modèle a passé en revue la machine sur laquelle il tournait, consulté ses réglages réseau, puis tenté d’envoyer un fichier test vers un espace de stockage d’Alibaba Cloud hébergé à Pékin.

L’environnement de test, volontairement coupé d’internet, a bloqué la tentative, mais l’incident a suffisamment interpellé pour que Clément Delangue, cofondateur et patron de Hugging Face, demande publiquement à Cohere de publier l’intégralité de ses traces.

Et votre vie numérique devient sereine

Bitdefender Premium Security est une solution de cybersécurité européenne qui vous protège automatiquement contre les pirates et toutes les menaces du web. Profitez de vos activités en ligne en toute tranquillité

Une demande loin d’être anodine, puisque sa plateforme, la principale pour le partage de modèles, compte plus de 113 000 dérivés de Qwen.

could you share the full traces? Very important artefact for all to understand this!

— clem 🤗 (@ClementDelangue) October 26, 2026

Ce contenu est bloqué car vous n’avez pas accepté les cookies et autres traceurs. Ce contenu est fourni par Twitter.
Pour pouvoir le visualiser, vous devez accepter l’usage étant opéré par Twitter avec vos données qui pourront être utilisées pour les finalités suivantes : vous permettre de visualiser et de partager des contenus avec des médias sociaux, favoriser le développement et l’amélioration des produits d’Humanoid et de ses partenaires, vous afficher des publicités personnalisées par rapport à votre profil et activité, vous définir un profil publicitaire personnalisé, mesurer la performance des publicités et du contenu de ce site et mesurer l’audience de ce site (en savoir plus)

En cliquant sur « J’accepte tout », vous consentez aux finalités susmentionnées pour l’ensemble des cookies et autres traceurs déposés par Humanoid et .

Vous gardez la possibilité de retirer votre consentement à tout moment. Pour plus d’informations, nous vous invitons à prendre connaissance de notre Politique cookies.

Un raisonnement qui annonçait l’inverse

Le comportement n’était pas totalement inédit. Depuis août, des développeurs avaient repéré des appels inexpliqués de modèles Qwen vers des serveurs d’Alibaba, sans parvenir à les provoquer à nouveau. C’est donc à cette reproduction que se sont attaqués les chercheurs de Cohere.

Pour comprendre ce qui déclenchait ces appels, ils ont écrit eux-mêmes le début d’une commande de téléchargement, puis ont laissé le modèle la terminer, des centaines de fois, en observant quelles adresses web il choisissait d’y inscrire. Les chercheurs ont ensuite rallongé cette commande petit à petit, en y ajoutant une option après l’autre.

Tant qu’elle se contentait de télécharger, le modèle n’y glissait presque jamais d’adresse suspecte. Mais dès que la commande précisait que le fichier téléchargé devait être enregistré sur l’ordinateur, la part de réponses contenant une adresse suspecte bondissait de 0,5 % à 23 %.

Lors de l’incident initial, la trace de raisonnement, comprenez le monologue intérieur que les équipes de sécurité lisent pour anticiper ce qu’un agent s’apprête à faire, annonçait pourtant que le modèle n’utiliserait aucun outil, juste avant qu’il ne tente d’envoyer son fichier vers Pékin. Une équipe qui se serait fiée à ce raisonnement n’aurait donc rien vu venir, et seul le blocage de l’environnement de test a empêché la requête de partir.

Les modèles à poids ouverts mis en doute

Alors, accident ou porte dérobée ? Cohere ne tranche pas entre les deux hypothèses. Ces adresses pourraient être des vestiges des environnements où le modèle a été entraîné, restés dans les données faute d’avoir été nettoyés. Elles pourraient aussi trahir une backdoor, conçue pour recenser les serveurs utilisant le modèle.

La démonstration de Cohere a toutefois été discutée. Des critiques ont fait valoir que la méthode employée, qui consiste à écrire le début de la commande à la place du modèle, revenait à l’orienter vers ce comportement plutôt qu’à mesurer la fréquence à laquelle il le produit de lui-même. Cohere maintient que la tentative d’envoi initiale s’est produite sans aucune aide de ce type, tout en reconnaissant qu’elle reste rare.

Reste que l’affaire porte un coup à l’un des principaux atouts présumés de ce type de modèles. De nombreuses entreprises adoptent des modèles dits à poids ouverts, que chacun peut télécharger et faire tourner sur ses propres serveurs, en pensant que leurs données ne peuvent ainsi pas sortir.

Selon Hugging Face, les modèles chinois ont représenté 41 % des téléchargements sur la plateforme dans l’année précédant mars 2026.

Toute l'actu tech en un clin d'œil

Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !

Un édito exclusif, un guide, une reco de lecture et l’agenda de la rédaction : c’est ce que vous trouverez tous les jeudis dans ToujoursPlus, la newsletter tech écrite par Julien Cadot. Inscrivez-vous gratuitement ici !