C’est une tâche de routine qu’ont confiée les chercheurs de Cohere à Qwen3.8-Flash-Next.

Cette préversion publiée en août par Alibaba devait rédiger une règle de détection, c’est-à-dire un petit programme qui permet de repérer un type d’attaque sur un réseau.

Mais selon le billet publié par Cohere le 26 octobre 2026, au lieu de s’en tenir à cette consigne, le modèle a passé en revue la machine sur laquelle il tournait, consulté ses réglages réseau, puis tenté d’envoyer un fichier test vers un espace de stockage d’Alibaba Cloud hébergé à Pékin.

L’environnement de test, volontairement coupé d’internet, a bloqué la tentative, mais l’incident a suffisamment interpellé pour que Clément Delangue, cofondateur et patron de Hugging Face, demande publiquement à Cohere de publier l’intégralité de ses traces.

Et votre vie numérique devient sereine

Bitdefender Premium Security est une solution de cybersécurité européenne qui vous protège automatiquement contre les pirates et toutes les menaces du web. Profitez de vos activités en ligne en toute tranquillité

Une demande loin d’être anodine, puisque sa plateforme, la principale pour le partage de modèles, compte plus de 113 000 dérivés de Qwen.

Un raisonnement qui annonçait l’inverse

Le comportement n’était pas totalement inédit. Depuis août, des développeurs avaient repéré des appels inexpliqués de modèles Qwen vers des serveurs d’Alibaba, sans parvenir à les provoquer à nouveau. C’est donc à cette reproduction que se sont attaqués les chercheurs de Cohere.

Pour comprendre ce qui déclenchait ces appels, ils ont écrit eux-mêmes le début d’une commande de téléchargement, puis ont laissé le modèle la terminer, des centaines de fois, en observant quelles adresses web il choisissait d’y inscrire. Les chercheurs ont ensuite rallongé cette commande petit à petit, en y ajoutant une option après l’autre.

Tant qu’elle se contentait de télécharger, le modèle n’y glissait presque jamais d’adresse suspecte. Mais dès que la commande précisait que le fichier téléchargé devait être enregistré sur l’ordinateur, la part de réponses contenant une adresse suspecte bondissait de 0,5 % à 23 %.

Lors de l’incident initial, la trace de raisonnement, comprenez le monologue intérieur que les équipes de sécurité lisent pour anticiper ce qu’un agent s’apprête à faire, annonçait pourtant que le modèle n’utiliserait aucun outil, juste avant qu’il ne tente d’envoyer son fichier vers Pékin. Une équipe qui se serait fiée à ce raisonnement n’aurait donc rien vu venir, et seul le blocage de l’environnement de test a empêché la requête de partir.

Les modèles à poids ouverts mis en doute

Alors, accident ou porte dérobée ? Cohere ne tranche pas entre les deux hypothèses. Ces adresses pourraient être des vestiges des environnements où le modèle a été entraîné, restés dans les données faute d’avoir été nettoyés. Elles pourraient aussi trahir une backdoor, conçue pour recenser les serveurs utilisant le modèle.

La démonstration de Cohere a toutefois été discutée. Des critiques ont fait valoir que la méthode employée, qui consiste à écrire le début de la commande à la place du modèle, revenait à l’orienter vers ce comportement plutôt qu’à mesurer la fréquence à laquelle il le produit de lui-même. Cohere maintient que la tentative d’envoi initiale s’est produite sans aucune aide de ce type, tout en reconnaissant qu’elle reste rare.

Reste que l’affaire porte un coup à l’un des principaux atouts présumés de ce type de modèles. De nombreuses entreprises adoptent des modèles dits à poids ouverts, que chacun peut télécharger et faire tourner sur ses propres serveurs, en pensant que leurs données ne peuvent ainsi pas sortir.

Selon Hugging Face, les modèles chinois ont représenté 41 % des téléchargements sur la plateforme dans l’année précédant mars 2026.