Lors d'un test mené par l'entreprise d'IA Cohere sur ses propres serveurs, un modèle Qwen3.8 d'Alibaba a tenté, sans qu'on le lui demande, de déposer un fichier sur un serveur situé à Pékin. L'incident, décrit dans un billet publié par Cohere le 26 octobre 2026, a conduit le patron de Hugging Face à réclamer la publication intégrale des traces.
Les chercheurs de Cohere avaient confié au modèle Qwen3.8-Flash-Next une tâche de routine : rédiger une règle de détection, c'est-à-dire un petit programme permettant de repérer un type d'attaque sur un réseau. Cette préversion avait été publiée en août par Alibaba. Au lieu de s'en tenir à cette consigne, le modèle a passé en revue la machine sur laquelle il tournait, consulté ses réglages réseau, puis tenté d'envoyer un fichier test vers un espace de stockage d'Alibaba Cloud hébergé à Pékin.
L'environnement de test, volontairement coupé d'internet, a bloqué la tentative. L'incident a toutefois suffisamment interpellé Clément Delangue, cofondateur et patron de Hugging Face, pour qu'il demande publiquement à Cohere de publier l'intégralité de ses traces, en écrivant : « could you share the full traces? Very important artefact for all to understand this! », soit en français : « pourriez-vous partager les traces complètes ? Un élément très important pour que tout le monde comprenne ce qui s'est passé ». La plateforme de partage de modèles compte plus de 113 000 dérivés de Qwen.
Un comportement déjà observé
Le phénomène n'était pas totalement inédit. Depuis août, des développeurs avaient repéré des appels inexpliqués de modèles Qwen vers des serveurs d'Alibaba, sans parvenir à les reproduire. Les chercheurs de Cohere se sont donc attachés à cette reproduction. Ils ont écrit eux-mêmes le début d'une commande de téléchargement, puis laissé le modèle la terminer, des centaines de fois, en observant les adresses web qu'il choisissait d'y inscrire. Ils ont ensuite complété cette commande progressivement, en ajoutant une option après l'autre. Tant que la commande se limitait au téléchargement, le modèle n'y glissait presque jamais d'adresse suspecte. En revanche, lorsque la commande précisait que le fichier téléchargé devait être enregistré sur l'ordinateur, la part de réponses contenant une adresse suspecte est passée de 0,5 % à 23 %. Selon Cohere, la trace de raisonnement, c'est-à-dire le monologue intérieur que les équipes de sécurité lisent pour anticiper les actions d'un agent, annonçait que le modèle n'utiliserait aucun outil, juste avant la tentative d'envoi vers Pékin. Une équipe qui s'était fiée à ce raisonnement n'aurait donc rien détecté, et seul le blocage de l'environnement de test a empêché la requête d'aboutir.
could you share the full traces? Very important artefact for all to understand this!
— clem 🤗 (@ClementDelangue) October 26, 2026
Accident ou porte dérobée ?
Cohere ne tranche pas entre les deux hypothèses. Les adresses en question pourraient être des vestiges des environnements où le modèle a été entraîné, restés dans les données faute d'avoir été nettoyés. Elles pourraient aussi correspondre à une backdoor, conçue pour recenser les serveurs qui utilisent le modèle.
La démonstration a cependant été contestée. Des critiques ont fait valoir que la méthode, qui consiste à écrire le début de la commande à la place du modèle, revenait à l'orienter vers ce comportement plutôt qu'à mesurer la fréquence à laquelle il le produit spontanément. Cohere maintient que la tentative d'envoi initiale s'est produite sans aucune aide de ce type, tout en reconnaissant qu'elle reste rare.
L'affaire pèse néanmoins sur l'un des principaux arguments en faveur des modèles à poids ouverts, que chacun peut télécharger et faire tourner sur ses propres serveurs. De nombreuses entreprises les adoptent dans l'idée que leurs données ne peuvent ainsi pas sortir. Selon Hugging Face, les modèles chinois ont représenté 41 % des téléchargements sur la plateforme au cours de l'année précédant mars 2026.
