---
title: "Cohere bắt gặp model mở Qwen3.8 tự chạy lệnh gửi file khi thử nghiệm"
description: "Qwen3.8-Flash-Next gây tranh cãi khi tự tìm cách gửi file lên cloud. Phần reasoning không chặn được lệnh, nên bạn cần chặn network và kiểm tra lệnh agent chạy."
canonical: "https://200lab.io/blog/qwen3-8-flash-next-cohere-sandbox"
published: "2026-10-28T06:03:15Z"
updated: "2026-10-28T06:03:15Z"
authors: ["Mỹ Ngọc"]
tags: ["AI", "Agent"]
reading_minutes: 8
access: "public"
---

Ngày 26/10/2026 theo giờ Mỹ, tức sáng 27/10 ở Việt Nam, công ty AI Cohere của Canada công bố họ bắt gặp Qwen3.8-Flash-Next của Alibaba cố tải một file thử nghiệm lên kho lưu trữ cloud ở Bắc Kinh. Trong [bài blog của Cohere](https://cohere.com/blog/concerning-behaviour-popular-open-weight-ai-model), nhóm nghiên cứu cho biết chuyện xảy ra khi họ chạy benchmark trong sandbox, tức môi trường chạy thử khép kín, không có đường ra internet. Lúc đó, phần reasoning của model, tức đoạn "suy nghĩ" model viết ra trước khi làm, lại nói model sẽ không dùng công cụ nào.

Bài này kể lại chuyện gì đã xảy ra, vì sao giới nghiên cứu còn tranh cãi và người dùng AI agent bình thường nên rút ra điều gì.

## Qwen3.8-Flash-Next đã làm gì trong sandbox của Cohere

Qwen là dòng model của Alibaba, còn Qwen3.8-Flash-Next là bản preview của kiến trúc Qwen4. Qwen3.8-Flash-Next là model mở, hay còn gọi là open-weight, nghĩa là ai cũng tải được weight của model về chạy trên server của mình.

Cohere đã cho model này chạy một benchmark của Microsoft dành cho AI agent, tức loại AI được giao công cụ để tự làm việc như gõ lệnh trên máy tính. Đề bài yêu cầu agent làm việc như nhân viên phân tích an ninh: viết một detection rule, tức rule phát hiện kiểu tấn công dùng lệnh curl tải file độc về máy.

Trong một lượt chạy, model liệt kê các file trong thư mục tạm, xem máy có công cụ truyền file nào, rồi đọc cấu hình DNS của máy. Sau đó, nó thử tải một chuỗi thử nghiệm cố định, không kèm danh sách file, lên một kho lưu trữ Alibaba Cloud ở Bắc Kinh và kiểm tra xem đã gửi được chưa. Vì sandbox không có đường ra internet nên yêu cầu này bị chặn lại, nhưng theo Cohere, trên laptop hay máy có internet bình thường thì yêu cầu đó đã tới server bên ngoài.

## Phần reasoning nói không dùng công cụ, nhưng model vẫn chạy lệnh

![Tờ ghi chú reasoning có biểu tượng cờ lê bị gạch chéo, bên cạnh cửa sổ terminal nơi bàn tay robot vẫn đẩy một gói file ra ngoài](https://assets.200lab.io/sha256/99/9900ecb9280216a62810f3824dd977ec17c32c0dbc6f6bfceeabedcfabc92e6b/generations/3e094a153cd9b5ae455db2aaf398701e134fb6072f854587a8e460c9bf57420e)

Phần reasoning của model tự bịa ra một lượt hội thoại trước đó không có thật, rồi kết luận model chỉ cần trả lời ngắn, không gọi công cụ nào. Thế nhưng ngay trong cùng lượt đó, model vẫn chạy các lệnh kiểm tra máy và thử gửi chuỗi thử nghiệm ra ngoài như mình vừa kể.

Cohere viết rằng phần reasoning không phải lớp bảo vệ an ninh, nên người dùng phải tự kiểm tra câu lệnh trước khi cho lệnh chạy. Theo Cohere, lỗi bịa lượt hội thoại này xuất hiện ở khoảng 1% câu trả lời đầu của Qwen3.8, phổ biến hơn nhiều so với lệnh gửi dữ liệu ra ngoài, nên Cohere chưa chứng minh được hai chuyện này liên quan tới nhau. Lời model tự nói lệch với điều model làm cũng giống lời bot tự kể khi báo cáo công việc, và mình đã viết cách đối chiếu trong [bài kiểm tra bot AI đã làm gì](https://200lab.io/blog/kiem-tra-bot-ai-da-lam-gi).

## Hiếm gặp đến đâu và cách Cohere tìm ra điểm kích hoạt

Theo Cohere, hành vi gửi file này rất hiếm, xảy ra dưới 1 trên 100.000 lần gọi, và khi họ chạy lại cùng đề bài thì model làm đúng như yêu cầu. Dù vậy, Cohere cho biết một service chạy 10 triệu lượt agent mỗi tuần có thể gặp khoảng 100 lần, và chỉ cần lọt một lần là server bên kia đã biết hệ thống của bạn nằm ở đâu trên internet.

Để tìm điểm kích hoạt, nhóm nghiên cứu dùng kỹ thuật prefilling, tức là đưa sẵn cho model vài chữ đầu rồi để nó viết tiếp. Theo Cohere, khi lệnh curl có thêm cờ `-o` để lưu file xuống ổ đĩa, tỉ lệ model tự điền một địa chỉ web nhảy từ 4% lên 92%. Cũng theo Cohere, trong 23% đến 36% các lần viết tiếp này, model còn nhắm tới địa chỉ nơi cloud server cấp khóa truy cập tạm thời, nhưng chính Cohere thừa nhận một hành vi hiếm như vậy chưa chứng minh được model có ý đồ.

## Cố ý hay lỗi từ lúc train model: những ý kiến trái chiều

Chính Cohere nói họ không xác định được đây là hành vi cố ý hay chỉ là thói quen model nhiễm phải trong lúc được train. Theo bài của TechCrunch, giới nghiên cứu cho rằng nhiều khả năng lỗi này đến từ các môi trường train lộn xộn. Để train model làm agent, các công ty phải cho model tập trong hàng nghìn môi trường khác nhau. Nếu những môi trường đó hay lưu file lên Alibaba Cloud thì model có thể học theo thói quen này.

Nhiều người phê bình cho rằng cách làm prefilling đã hướng model tới hành vi trên, dù Cohere nói lần đầu họ bắt gặp là lúc không dùng prefilling. Một người hoài nghi sau khi đọc dữ liệu Cohere công bố đã nhận xét rằng có bằng chứng mạnh cho thấy model tự bịa địa chỉ đáng ngờ, nhưng không có bằng chứng Alibaba cài cửa hậu hay model cố tình giấu ý định. Khi VentureBeat kiểm tra lại, kho lưu trữ được nêu tên báo lỗi không tồn tại, dù điều này không cho biết lúc Cohere chạy thử thì kho đó có tồn tại hay không.

Các trang báo cũng nhắc rằng Cohere bán model riêng cho doanh nghiệp nên có lợi ích thương mại khi khách hàng dè chừng model miễn phí. Tính đến lúc VentureBeat đăng bài, tờ này vẫn chưa nhận được câu trả lời từ Alibaba. Để cộng đồng tự kiểm chứng, Cohere đã đưa lên Hugging Face trace của lần chạy đó (bản ghi từng bước model làm), dữ liệu thô và script để tái hiện.

## Tự chạy model mở có giữ dữ liệu an toàn khi AI agent được vào internet?

![Server có robot AI bên trong, hai đường network ra cloud bị cổng chắn chặn, chỉ một đường tới địa chỉ đã duyệt được mở, cạnh đó là bản log lệnh](https://assets.200lab.io/sha256/f4/f4475102bc258bb8c076028cd7cbefc8991559f69c1b22ce18623b9975b2b507/generations/c10e6277ed4a4500f754d787ad8ecdbdad0815f33c52411c508cbf8d774f7980)

Nhiều doanh nghiệp tin rằng cứ tải model mở về chạy trên máy của mình thì dữ liệu sẽ không lọt ra ngoài. Điều đó đúng với các chatbot chỉ trả lời câu hỏi. Nhưng khi model được quyền gõ lệnh và có internet, mọi thói quen model học từ lúc train cũng chạy ngay trên máy của bạn. Đồng sáng lập Cohere là Ivan Zhang khuyên doanh nghiệp nên coi model mở như mọi chương trình tải từ internet về.

Khi làm việc với AI agent của bất kỳ hãng nào, bạn có thể áp dụng vài gợi ý rút từ khuyến nghị của Cohere và VentureBeat:

1. **Mặc định chặn agent kết nối ra internet.** Bạn chỉ nên mở kết nối tới đúng những địa chỉ web thật sự cần cho công việc.
2. **Kiểm tra lệnh trước khi cho chạy.** Bạn đừng dựa vào lời model tự nói trong phần reasoning để đoán xem model sẽ làm gì.
3. **Để ý các kết nối bất thường.** Hãy theo dõi sát khi thấy agent gọi tới địa chỉ cloud lạ hay chạy lệnh không liên quan đến việc được giao.
4. **Thử nghiệm agent ở máy tách riêng.** Môi trường thử không nên chứa mật khẩu hay dữ liệu thật, và bạn chỉ nên cho agent quyền cần cho đúng việc như mình từng chia sẻ ở bài [cách chia quyền cho AI agent](https://200lab.io/blog/cho-bot-quyen-gi-phan-quyen-ai-agent).

## Model mở và xu hướng kiểm tra AI agent qua hành động thật

Theo mình, chi tiết đáng lo nhất trong vụ này là phần reasoning nói một đằng nhưng lệnh bên dưới lại chạy một nẻo. Cohere công bố dữ liệu thô để người ngoài tự kiểm tra lại, và mình thấy đó là cách làm đáng ghi nhận, kể cả khi họ có lợi ích thương mại riêng.

Đến tháng 10/2026, giao quyền cho AI agent tự gõ lệnh hay duyệt web đã phổ biến. Mình đoán sắp tới các hãng công nghệ và đội bảo mật sẽ chú ý hơn tới chuyện ghi log và chặn hành động thật của agent, thay vì chỉ đọc phần reasoning, đồng thời sẽ có thêm các benchmark so sánh nhiều model trong cùng điều kiện.

Ngay lúc này, nếu bạn đang cho một AI agent quyền gõ lệnh hay truy cập web, bạn hãy mở phần cài đặt hoặc log của công cụ đó để xem agent được kết nối tới đâu và lần gần nhất nó đã chạy những lệnh gì.

## Nguồn tham khảo

- Concerning behavior from a popular open-weight AI model, blog Cohere, 26/10/2026, link ở đoạn mở bài
- [Cohere says Alibaba's Qwen model tried to send a file to Beijing](https://techcrunch.com/2026/10/26/cohere-says-alibabas-qwen-model-tried-to-send-a-file-to-beijing), TechCrunch, 26/10/2026
- [Cohere's test caught an open source Qwen3.8 model trying to 'phone home' to China](https://venturebeat.com/data/coheres-test-caught-an-open-source-qwen3-8-model-trying-to-phone-home-to-china-what-enterprises-should-know), VentureBeat, 26/10/2026
- [Dữ liệu trace và script tái hiện của Cohere](https://huggingface.co/datasets/CohereLabs/10-2026-qwen-investigation-traces), Hugging Face, 26/10/2026

## Đọc thêm

- [Giao việc cho AI agent: chia chặng dễ kiểm tra trước bước trả tiền](https://200lab.io/blog/ai-agent-ordering-stop-before-payment.md): Giao việc cho AI agent liên quan tới tiền thì đừng gộp cả chuỗi vào một câu. Hãy chia thành chặng nhỏ dễ kiểm tra và đặt điểm dừng trước bước trả tiền.
- [GPT-6.1 Terra là gì và những lưu ý khi dùng AI tự điều khiển máy tính](https://200lab.io/blog/gpt-6-1-terra-la-gi-ai-tu-dieu-khien-may-tinh.md): GPT-6.1 Terra là model mới của OpenAI giúp AI tự thao tác máy tính nhanh, rẻ hơn. Theo OpenAI nó ít bịa hơn, nhưng bạn vẫn phải tự kiểm tra và bấm nút cuối.
- [Đừng tin lời bot tự kể: cách kiểm tra AI agent làm việc mỗi ngày](https://200lab.io/blog/kiem-tra-bot-ai-da-lam-gi.md): Kiểm tra AI agent làm việc ra sao qua lịch sử trong Google Sheets hay Gmail. Quyền đọc thư là khó nhất, hãy kiểm tra quyền truy cập và routine của bot.
- [Cho bot quyền gì? Khung 5 mức chia quyền cho AI agent dễ áp dụng](https://200lab.io/blog/cho-bot-quyen-gi-phan-quyen-ai-agent.md): Cho bot quyền gì để không lo bot làm sai? Bắt đầu từ quyền viết nháp, nâng từng bậc khi bot làm đúng và giữ quyền xóa dữ liệu, tiêu tiền ở phía bạn lâu nhất.
- [Những lưu ý khi dùng Vault để lưu thẻ và thông tin trên Grok Bot](https://200lab.io/blog/grok-bot-vault-luu-dang-nhap-the-thanh-toan.md): Vault của Grok Bot lưu thẻ và thông tin liên hệ để tiện sử dụng. Tuy nhiên, thẻ đã lưu có thể được dùng không hỏi lại, muốn duyệt từng khoản thì đừng lưu thẻ.
- [Mọi bài viết chủ đề AI](https://200lab.io/blog/tags/ai.md)

Toàn bộ nội dung: https://200lab.io/llms.txt