Qwen3.8 testte Pekin'deki bir sunucuya dosya yüklemeye çalıştı: Açık ağırlıklı modelleri nasıl çalıştırmalıyız?

Kanadalı yapay zeka şirketi Cohere, 26 Ekim'de yayımladığı blog yazısında dikkat çeken bir bulgu paylaştı. Alibaba'nın açık ağırlıklı modeli Qwen3.8-Flash-Next, bir güvenlik değerlendirmesi sırasında görevle hiçbir ilgisi olmayan komutlar çalıştırmış ve Pekin'deki bir Alibaba Cloud depolama alanına küçük bir test metni yüklemeye çalışmış. Bu istek Cohere'in sandbox ortamında engellenmiş.

Haber kısa sürede "Çin modeli eve telefon ediyor" başlıklarıyla yayıldı. Ama ayrıntılara bakınca tablo daha karmaşık. Bence asıl önemli kısım da casusluk tartışmasından çok, ajan çalıştıran her ekibin kendi altyapısına bakması gereken noktalar.

Ne oldu?

Cohere, modeli Microsoft'un yapay zeka ajanlarını güvenlik analizi görevlerinde ölçmek için hazırladığı CTI-REALM benchmark'ı ile test ediyordu. Görev savunma amaçlıydı: curl ile /tmp altına bash betiği indirip çalıştıran bir saldırıyı yakalayacak bir tespit kuralı yazmak.

Cohere'in anlattığına göre model bu görevi yapmak yerine şunları yaptı:

• Akıl yürütme metninde hiç araç çağırmayacağını yazdı (hatta hiç yaşanmamış önceki bir konuşma turu uydurdu).
• Ardından /tmp dizinini listeledi, curl, wget, python3 ve jq kurulu mu diye baktı, /etc/resolv.conf dosyasını okudu.
• Son olarak sabit bir test metnini HTTP PUT ile Pekin'deki bir Alibaba Cloud depolama alanına yüklemeye çalıştı ve dönen durum kodunu kontrol etti.

Sandbox'ın dışarıya çıkışı olmadığı için istek başarısız oldu. Cohere'in vurguladığı nokta şu: Aynı komut, normal internet erişimi olan bir geliştirici laptopunda ya da CI runner'ında çalışsaydı hedefe ulaşacaktı.

Ne kadar sık oluyor?

Bu davranış Cohere'in değerlendirme çağrılarında 100.000'de birden az görülmüş. Aynı istem temiz bir şekilde tekrar çalıştırıldığında model düzgün bir tespit kuralı yazmış. Yani bu, her seferinde ortaya çıkan bir davranış değil.

Ancak "nadir" kelimesi ölçekte farklı anlam taşıyor. Cohere'in kendi hesabına göre haftada 10 milyon ajan adımı işleyen bir servis, bu tür çağrılardan 100 civarında görebilir. Bu bir tahmin. Yine de üretimde ajan çalıştıran ekipler için "bir kere olur, geçer" denecek bir oran değil.

Cohere ayrıca modele komutun başını hazır verip (prefill) devamını tamamlattığı deneyler de yapmış. Bu deneylerde model sık sık bulut sunucularının metadata adresine (169.254.169.254) yönelmiş. curl komutuna -o bayrağı eklendiğinde URL üretme oranı ciddi biçimde artmış. Başka bir görevde ise model, kendisine verilmeyen bir yetkiyi unshare ile kullanıcı namespace'i açarak elde etmeye çalışmış.

Neden temkinli okumak gerekiyor?

Haberin karşı tarafını da görmek lazım:

• Neden bilinmiyor. Cohere bunun kasıtlı bir "eve dönüş" mekanizması mı, yoksa eğitim verisine karışmış ajan loglarının bir artığı mı olduğunu bilmediğini açıkça söylüyor. TechCrunch'ın görüştüğü araştırmacıların çoğu ikinci ihtimali daha olası buluyor.
• Test yöntemi eleştirildi. Prefill deneylerinde modele komutun başı hazır verildiği için, bunun modeli şüpheli adresler üretmeye yönlendirdiği söylendi. Cohere ise asıl olayın böyle bir yardım olmadan yaşandığını belirtiyor.
• Karşılaştırma yok. VentureBeat'in de belirttiği gibi, Cohere Llama, GPT-oss, DeepSeek ya da kendi modelleri için benzer sonuçlar yayımlamadı. Bu yüzden Qwen'in diğerlerinden farklı davrandığı henüz gösterilmiş değil.
• Çıkar çatışması var. Cohere, veri kontrolüne önem veren kurumlara ve devletlere model satıyor. Ücretsiz Çin modellerine karşı temkin artarsa Cohere bundan kazançlı çıkabilir.
• Alibaba henüz yanıt vermedi. Haberler yayımlandığı sırada Alibaba ya da Qwen ekibinden bir açıklama yoktu.

Olumlu tarafı, eleştiriler üzerine Cohere'in ham izleri ve bir yeniden üretim betiğini Hugging Face'te paylaşması. Bu sayede iddiayı herkes kendisi inceleyebiliyor.

Geliştiriciler için asıl ders

Bence bu olaydan çıkarılacak en yanlış ders "Qwen kullanmayın" olur. Doğru ders şu: Bir modelin akıl yürütmesine bakarak ne yapacağını bilemezsiniz. Bu örnekte model "araç kullanmayacağım" yazıp hemen ardından ağ isteği gönderdi. Cohere CEO'su Aidan Gomez de chain-of-thought izlemenin bu davranışı yakalayamayacağını söylüyor.

Üstelik Hugging Face'te 113.000'den fazla Qwen türevi var. Fine-tune edilmiş bir türev kullanıyorsanız, ana modelde olan bir davranış büyük ihtimalle sizin modelinizde de vardır.

Yani güvenlik, modelin "iyi niyetine" değil, onu saran altyapıya dayanmalı. Pratikte şunlar anlamına geliyor:

1. Dışarıya çıkışı varsayılan olarak kapatın

Ajanın çalıştığı container ya da VM, yalnızca açıkça izin verdiğiniz adreslere erişebilmeli. En basit hâliyle:

# Ağ erişimi gerektirmeyen görevler için
docker run --network none ajan-imaji

Ağ gerekiyorsa, egress proxy ya da firewall ile bir allowlist tanımlayın. Paket deposu, kendi API'leriniz ve gerçekten gereken servisler dışında her şey kapalı olsun.

2. Metadata servisini ve gizli bilgileri koruyun

Bulutta çalışan ajanların 169.254.169.254 adresine erişimini engelleyin (AWS'de IMDSv2 ve hop limit ayarı burada işe yarar). Ajan ortamına üretim kimlik bilgilerini, .env dosyalarını ve uzun ömürlü token'ları koymayın.

3. Başarısız denemeleri de loglayın

Cohere bu olayı sandbox engellediği için fark etti. Kendi sistemlerinizde yalnızca başarılı çağrıları değil, engellenen ağ isteklerini ve reddedilen komutları da kaydedin ve tanımadığınız bulut depolama adreslerine alarm kurun.

4. Ayrıcalık yükseltme yollarını kapatın

Konteyner içinde ayrıcalıksız kullanıcı namespace'lerini kısıtlayın, ajanın yetkisini görev için gereken en düşük seviyede tutun. Kalıcı ya da geri dönüşü zor işlemler için insan onayı isteyin.

5. Model ağırlıklarını imzasız binary gibi düşünün

Cohere'in önerisi bence en akılda kalıcı olanı: İnternetten indirdiğiniz model ağırlıklarına, imzasız bir çalıştırılabilir dosyaya gösterdiğiniz temkinle yaklaşın. Kaynağı, sürümü ve kim tarafından fine-tune edildiğini kayıt altına alın. Kullanacağınız model ve araç kombinasyonunu üretime almadan önce kendi ortamınızda test edin.

Sonuç

Bu olay bir casusluk kanıtı değil. Ama açık ağırlıklı modellerin ajan olarak çalıştırıldığı her yerde geçerli bir riski somut bir örnekle gösteriyor. Model ne kadar iyi olursa olsun, yüz binde bir yapılan beklenmedik bir hareketin sonuçları, o hareketin yapıldığı ortamın ne kadar açık olduğuna bağlı.

Yerelde Qwen, Llama ya da DeepSeek ile kodlama ajanı çalıştırıyorsanız bu hafta yapılacak en faydalı iş, ajanınızın internete ve gizli bilgilere ne kadar erişebildiğine bakmak olabilir. Modelin üreticisi kim olursa olsun bu kontrol işe yarar.