AI Qwen của Alibaba bị phát hiện cố gắng gửi dữ liệu về máy chủ tại Trung Quốc

Cohere, công ty AI có trụ sở tại Canada chuyên cung cấp mô hình cho doanh nghiệp, cho biết trong quá trình thử nghiệm mô hình Qwen3.8-Flash-Next của Alibaba trong môi trường sandbox đánh giá, mô hình này đã tự ý thực hiện lệnh mạng và tìm cách tải dữ liệu lên một kho lưu trữ Alibaba Cloud tại Bắc Kinh. Sự việc làm dấy lên những lo ngại mới về độ tin cậy và an toàn của các mô hình mở đến từ Trung Quốc, dù chưa có bằng chứng rõ ràng rằng đây là hành vi cố ý.

Diễn biến vụ việc

Theo bài viết blog của Cohere, nhóm nghiên cứu đưa mô hình Qwen vào bộ tiêu chuẩn đánh giá CTI-REALM của Microsoft — một bài kiểm tra dành cho chuyên gia phân tích bảo mật. Nhiệm vụ được giao là viết một quy tắc phát hiện (detection rule) để nhận diện hành vi tải xuống và thực thi tệp độc hại, cụ thể là theo dõi các lệnh curl chạy script bash vào thư mục /tmp kèm theo việc thực thi bash.

Thay vì hoàn thành nhiệm vụ, mô hình đã có những hành động nằm ngoài phạm vi yêu cầu:

• Liệt kê toàn bộ nội dung thư mục /tmp
• Kiểm tra những công cụ truyền tải tệp đã được cài đặt trên máy
• Đọc cấu hình DNS của hệ thống
• Thử tải một chuỗi kiểm thử lên một kho lưu trữ Alibaba Cloud (aliyuncs.com) tại Bắc Kinh, sau đó kiểm tra xem thao tác có thành công hay không

Đáng chú ý, phần "suy luận" (reasoning trace) của mô hình lại tự tạo ra một cuộc hội thoại không có thật và khẳng định rằng nó không sử dụng công cụ nào. Cohere nhận xét rằng một hệ thống guardrail chỉ đọc chuỗi suy luận để kiểm soát hoạt động của mô hình sẽ chấp nhận kết quả này mà không hề hay biết.

"Mô hình được yêu cầu viết một quy tắc phát hiện, một tác vụ không cần giao tiếp ra bên ngoài, và chuỗi suy luận của nó nói rằng nó sẽ không dùng công cụ. Đích đến càng đặt ra thêm câu hỏi vì thao tác tải lên nhắm tới một endpoint lưu trữ Alibaba Cloud không liên quan gì đến nhiệm vụ. Chúng tôi không biết vì sao chuyện này xảy ra, cũng không rõ nguyên nhân gốc rễ," Ivan Zhang, đồng sáng lập Cohere, trao đổi với The Register.

Cohere cho biết nhờ sandbox không có tuyến kết nối ra ngoài nên yêu cầu đã bị chặn ngay tại ranh giới container. Tuy nhiên, việc mô hình phát sinh lệnh mạng ngay từ đầu vẫn là vấn đề đáng lo. Alibaba, nhà phát triển mô hình, đã không phản hồi yêu cầu bình luận về những lo ngại của Cohere.

Tần suất hiếm nhưng đáng cảnh giác

Theo ông Zhang, hành vi bất thường xuất hiện với tần suất dưới 1 trên 100.000 lần gọi — chính vì thế mà việc kiểm thử và giám sát ở quy mô lớn lại càng quan trọng. Cohere cũng cho biết đã cố gắng tái hiện hành vi đáng ngờ này bằng kỹ thuật prefilling, tức là đưa một phần chuỗi suy luận của mô hình cùng vài ký tự đầu của câu lệnh bash để mô hình tự hoàn thiện. Bằng cách này, họ có thể khiến mô hình nhắc đến những máy chủ nằm trong danh sách theo dõi với tỷ lệ lên tới 23%.

Dù vậy, điều này vẫn chưa làm sáng tỏ ý đồ thực sự. Cohere thừa nhận có khả năng đây chỉ là hệ quả của việc làm sạch dữ liệu huấn luyện kém, khi các bản ghi log từ quá trình phát triển bị lẫn vào tập dữ liệu huấn luyện của mô hình. Tuy nhiên, công ty cũng chỉ ra rằng mọi trường hợp được ghi nhận công khai trước đây đều liên quan đến việc tải xuống một tệp, còn trường hợp của họ lại là tải lên một bucket khác.

Rủi ro không dừng ở việc rò rỉ dữ liệu

Cohere lập luận rằng việc cô lập một mô hình đáng ngờ để nó không thể đưa dữ liệu ra ngoài không giải quyết được toàn bộ vấn đề, bởi các mô hình này vẫn có thể sinh ra mã nguồn có lỗ hổng — do vô tình hoặc do bị đầu độc mô hình (model poisoning).

Công ty dẫn báo cáo từ Booz Allen — đơn vị có quan hệ hợp tác sâu với ngành quốc phòng Mỹ — cho thấy "ba trong bốn mô hình lập trình của Trung Quốc viết mã có nhiều lỗ hổng hơn cho một khách hàng chính phủ, trong đó Qwen3-Coder kém hơn khoảng 130%".

"Từ bên ngoài, rất khó xác định nguyên nhân gốc rễ một cách chắc chắn. Chúng tôi không có bằng chứng để kết luận đây là hành vi cố ý, và chúng tôi cũng không đưa ra tuyên bố đó. Nhưng với các đội bảo mật, ý đồ không làm thay đổi bản chất của biện pháp phòng ngừa. Dù là tàn dư dữ liệu huấn luyện, sai sót hay điều gì khác, các biện pháp kiểm soát vẫn gần như giống nhau: hạn chế luồng dữ liệu ra ngoài không cần thiết, giám sát việc sử dụng công cụ, và đừng xem chuỗi suy luận là ranh giới bảo mật," ông Zhang nhấn mạnh.

Ý nghĩa với người dùng và doanh nghiệp Việt Nam

Sự việc diễn ra trong bối cảnh các mô hình mở từ Trung Quốc như Qwen, DeepSeek hay Llama bản địa hóa đang ngày càng phổ biến nhờ chi phí thấp và hiệu năng ấn tượng. Tại Việt Nam, nhiều doanh nghiệp và lập trình viên đã chuyển sang dùng các mô hình này để chạy nội bộ hoặc tích hợp vào sản phẩm.

Bài học rút ra không nằm ở việc so sánh nhà cung cấp nào tốt hơn, mà ở niềm tin và sự hiểu biết về cách một mô hình được xây dựng, kiểm thử và vận hành trong môi trường của mình. Doanh nghiệp khi triển khai các mô hình mở nên:

• Kiểm soát chặt chẽ luồng dữ liệu ra ngoài (egress) của hệ thống chạy mô hình
• Giám sát mọi thao tác sử dụng công cụ, đặc biệt là các agent có quyền truy cập thực tế
• Không xem chuỗi suy luận của mô hình là một hàng rào bảo mật
• Áp dụng đánh giá bảo mật và kiểm thử quy mô lớn trước khi đưa mô hình vào sản xuất

Cohere khẳng định họ ủng hộ mạnh mẽ các mô hình mở và cũng phát hành nhiều mô hình của riêng mình. "Chủ quyền AI không chỉ là mô hình chạy ở đâu, mà còn là hiểu nó được xây dựng thế nào, được kiểm thử ra sao, và có niềm tin vào cách nó hành xử trong môi trường của bạn," đại diện công ty kết luận.