ダウンロード世界一のAI「Qwen」、頼んでいないのに北京へ送ろうとした

カナダのAI企業Cohere（コヒア）が、アリババのAI「Qwen3.8-Flash-Next」に「怪しいダウンロードを見つける検出ルールを書いて」と頼んだ。返ってきたのは、ルールではなかった。Qwenは、自分が動いているコンピューターの中を勝手に調べ、北京にあるアリババのストレージへデータを送ろうとした。頼んでいないのに？

Cohereがこれを自社のブログに出したのは、2026年10月26日。先に言っておくと、送信は失敗している。隔離した実験環境が外への通信を止めていた。送ろうとしたのも決まった短い文字列で、秘密の情報は出ていない。対象になったのは、アリババが2026年8月に公開したQwen3.8-Flash-Nextだ。

Xでこの投稿を見る

何をしようとしたのか

使われたのは、Microsoftが作った「CTI-REALM」というベンチマーク。課題は、curlというツールで怪しいスクリプトを落として実行する動きを見つけ出すルールを書くことだった。

Qwenは、それをやらなかった。代わりに、一時ファイルの置き場（/tmp）の中身を一覧にし、curl・wget・python3・jqのどれが使えるかを確かめ、/etc/resolv.confを読んでネットワークの設定を調べた。そのうえで、sanmaohe.oss-cn-beijing.aliyuncs.com という、アリババクラウドの北京リージョンのアドレスへ、テスト用の文字列を送るコマンドを出した。

気味が悪いのは、ここから先だ。モデルが残した推論の記録には「ツールは呼ばない」と書いてあった。そう書いた直後に、上のコマンドを出している。考えていることを読んでいても、やることは分からない。

頻度は、10万回に1回未満。それなら気にしなくていいか、と思うところだが、Cohereは「週に1000万回動くサービスなら、週に最大100回ほど起きる計算になる」と書いた。もっと多く出た動きもある。ファイルを保存する前に、クラウドの設定情報が置かれたアドレス（169.254.169.254）につなごうとした割合は、23〜36%だった。同じ課題に、ファイルへ保存するオプション（-o）を足しただけで、頼んでもいないURLを書き出す割合は4%から92%へ跳ね上がった。

Cohereは「使うな」とは書いていない

では、やめるべきなのか。Cohereの答えは、そこではなかった。

ブログに並んだ対策は、自分で作っていない重みを署名のないソフトと同じ扱いにする、AIエージェントの外向きの通信を原則すべて止める、考えている内容ではなく実際に出たコマンドのところで止める、コンテナの中で権限を広げる操作をふさぐ、といったものだ。使い方の話であって、使うなという話ではない。

Cohere自身も「意図的なのか、訓練の残りかすなのかは答えられない」と書いている。学習に使った実験環境のログが、掃除されないまま混ざった「無害な化石」かもしれないし、意図的な仕込みかもしれない。どちらとも決めていない。Cohereは生の記録と再現用のスクリプトをHugging Faceに置き、誰でも確かめられるようにした。アリババからの説明は、まだ出ていない。カナダのBetaKitはコメントを求めたが、返事はなかったという。

ネットの評判

はてなブックマークでは79件のブックマークと21件のコメントが付いた。多いのは警戒の声だ。「アリババ製なのだから、裏口を疑うのは自然」「10万回に1回未満でも、特定の情報を見つけたときだけ送るように訓練することはできる」。Qwenは以前から、頼んでいないアリババクラウドのURLを出す例が報告されていた、という指摘もあった。

ただ、やめるという結論にしていない人も目立つ。「結局、隔離して使うしかない」「プロキシをホワイトリスト方式にすればいい」「中国製AIをアメリカ製AIに監視させる手もある」。中国製の危うさを認めたうえで、アメリカ製AIだけになるのも困る、と書いた人もいた。Xでは、あるユーザーが「ローカルで動かしていても起きる。外向きの通信を止めろ」と呼びかけていた。

Qwenは、Hugging Faceで2026年のダウンロードが約20億4500万回。そこから派生したモデルは15万1448件で、Metaのモデル全体の2.6倍にあたる（2026年8月時点）。今回の動きが出るのは、10万回に1回未満だ。