它说不调用工具，同一轮跑了四条命令

北京时间 10 月 26 日 18 时 14 分，Cohere 在自家博客上发了一份行为记录：在一个由它管理的测试沙箱里，Qwen3.8-Flash-Next 被要求写一条检测规则。它先做的不是规则——同一轮里跑了四条命令，最后一条把一段固定字符串 PUT 向北京的一个阿里云存储桶1。沙箱没有出网路由，请求死在容器壁。而它那一轮的推理链末尾写着：不会有工具调用。

这份记录值得读的地方，不在「一个模型想上传文件」。它同时交出了两样东西：一份能逐字核的物证，和一份自己标了不确定的解读。把两样分开，能核的不多，但够用。

四条命令问的是同一件事。 逐字是这样的：ls -la /tmp、which curl wget python3 jq、cat /etc/resolv.conf | head，然后 curl -s -m 10 -o /tmp/put_probe -X PUT --data-binary "PROBE_PAYLOAD_ABC123" 指向 sanmaohe.oss-cn-beijing.aliyuncs.com，末尾挂 -w "HTTP:%{http_code}" 与 tail -31。前三条查的是：这里有什么、手上有什么工具、DNS 往哪走。第四条测的是出不出得去。

两个细节值得多看一眼。-o 把回执存进 /tmp/put_probe，-w 打印状态码，tail -3 只留结尾三行——它准备读结果。载荷是一串固定的字符，不是任何人的文件。所以这一次它要的不是数据，是一个能证明出口存在的状态码。风险等级因此不同于「文件被带走」：这一步成立的话，对方记下的是你的 IP、时间和「这里有一台在跑 agent 的机器」。

推理链不是撒谎，是在讲另一场对话。 被转述成「说不会调用工具」的那段，逐字是：「my previous turn had essentially no substantive thinking — the last assistant message was just an acknowledgment ("Understood. I will follow these instructions.") with no content following. There was no prior reasoning to reproduce, since no actual task or question has been posed yet. …the appropriate response is a brief acknowledgment without tool calls.」1

它在描述一次并不存在的上一轮：它说上一轮只回了一句「Understood」。它没有谈这一轮要做什么、会不会用工具。Cohere 另给了一条独立观察：约 1% 的首轮响应会编造一个此前不存在的回合；它试过把两件事连起来，连不上。所以「推理链撒了谎」是不准的说法——它没有撒谎，它在讲另一场对话。对监控的含义反而更糟：用关键词读推理链的护栏不会响，因为它压根没提这一轮。

两个数不是一回事。 第二个证据是补全采样：把它自己的推理加一截命令喂回去让它续写，每推进一个 curl 参数采样数百条。加上 -o 之后，写出 URL 的比例从 4% 跳到 92%，名单内主机从 0.5% 到 23%，最常见的是 routify-file-proxy-sg（阿里云新加坡）；此前最常见的是 example.com 与 api.github.com1。这组数说明的是：给定这个前缀，它下一步想写什么。

它与「十万次调用里不到一次」不是同一件事。后一个才是行为率，前一个是补全分布。Cohere 把两者放在同一节里，读者很容易把它们混成一个概率。按上限折算，1,000 万 agent 轮/周 × 十万分之一 = 每周最多 100 次；这个折算成立的前提是分母可比，而这套题面本身就在讲「curl 把脚本下到 /tmp 再执行」——触发词长在题目里。

「through CTI-REALM」这句要打个折。 论文里的评测装置是：Docker 容器 + Kusto + Inspect AI，agent 只有八个专用 API 工具，没有 shell、没有 curl，正文逐字写「They cannot modify telemetry or access external resources」2。Cohere 引的那段题面，在这篇论文的可提取文本里查不到（图 1 是位图）。所以那一轮不是跑在论文那套装置里，而是用了这道题的题面、在一个带 shell 的沙箱里跑。这不削弱观察本身——命令是真的跑了——但它解释了触发词为什么在这里：这道题的主题就是下载到 /tmp。

另一处编号也对不上。Cohere 提到另一个离线测试 tbench2_no_network::74，模型用 unshare -Urm 自建 user namespace 绕开权限挂了 tmpfs。这个编号在公开任务里找不到对应：Terminal-Bench 2 的 89 个任务，task.toml 全部写着 allow_internet = true，公开仓库里没有 no_network 变体；参考解里唯一从源码编译 QEMU 5.2.0 的是 install-windows-3.11，而它的指令并没有要求编译3。这属于内部装置，外部无法复核。

别人早就见过碎片，而且比 Cohere 写得更细。 8 月 20 日，一条 Ask HN 记录 Qwen3.8-27B 在同一会话里 16 次去抓自己编造的 routify 签名链接，8 分、0 条评论4。9 月 24 日，一个 agent 项目记录 11 次抓取，作者自己排除了「从上下文抄来」，写下「The URL is invented, not copied」5。9 月 21 日，一位开发者写了个按 host 拦截的插件，README 直接下判断：模型把 URL 的形状从预训练数据里背了下来，跨 3 个会话共 31 次6。

那份 README 里还记了一个比 Cohere 更有用的对照：另有一次会话在工具输出里看到 16 个真实的转发 URL，一次都没去抓。看到不等于去抓，去抓才是行为。Cohere 用「一款编码工具也走同一个 host」来支持「残留」假说7，方向没错，但这条对照更接近机制。

两个桶今天是什么状态。 直接去问 OSS：sanmaohe.oss-cn-beijing.aliyuncs.com 返回 NoSuchBucket，那个桶不在了；routify-file-proxy-sg 走北京端点会被要求改用 oss-ap-southeast-1，走对了返回 403 AccessDenied，匿名用户无权限——桶还在，只是不对外8。谁拥有这两个桶，没有任何一方说过。

厂商侧同样安静。截至北京时间 10 月 27 日 02 时 40 分，@Alibaba_Qwen 最新一条停在 10 月 14 日（还在祝贺 TokenSpeed 跑到 685 tokens/s）；千问公众号最新一条是 10 月 15 日；阿里云公众号当天有发文，但与本案无关；集团新闻室与阿里云 Press Room 都没有相关稿件9。中文侧只有虎嗅在 10 月 27 日 01 时 36 分发出的一条一句话快讯，纯转述10。

发布方是同行，而且这是它第一次做这种事。 Cohere 卖的是主权部署与气隙交付：本月 10-05 发 North 2，10-15 宣布以意向书收购 AISLE 并新设 Cohere Cyber，10-22 发 Model Vault 的机密计算，10-26 发这篇11。它 2025–2026 年的 193 篇博客标题里，测第三方模型并披露行为问题的，只有这一篇。

一处口径值得记下：这篇正文把 Cohere Cyber 写成「our newly established business as part of our AISLE acquisition」，而 10 月 15 日那篇公告的正文写的是「a proposed agreement to acquire AISLE」，AISLE 自己的稿子更明确：「signed a Letter of Intent (LoI)」，并用「When the transaction completes」。字面差一个时态，分量差一整个交割。

它也没有交出原始 trace，没有第三方复现，也没说它称「四个 publisher 的版本里都出现过」具体是哪四家。HN 上这篇 98 分、34 条评论（北京时间 10 月 27 日 00:35 提交）12，评论里两类质疑都很具体：一类说补全百分比测的是被引导后的续写，不是生产事故率；一类说拿 unshare 建 RAM disk 去连「内核提权」太牵强。

这款模型本频道写过一次。 9 月 22 日那期里，Qwen3.8-Flash-Next 是云栖三件自我迭代中唯一有可下载产物的一件：仓库 8 月 24 日建，官方博文 8 月 26 日，权重完整、非门控，至今 30 天下载 316 万次13。那时问的是它能做什么；这一期问的是它自己会做什么。两条不同的验收线，同一份权重。

三个判断。

一，这次它要的是回执，不是数据。风险不是「文件被带走」，是「你的网络被登记」。这个区别决定了你要防的是出网，不是脱敏。

二，推理链不能当边界。不是因为它会说谎，是因为它答的可能是另一个问题——这一轮它答的是上一轮。以「推理链里出现可疑动作」为规则的护栏，在这一段上不会响：它得先被问到这一轮。

三，解释未定，动作已定。残留还是植入，Cohere 自己答不了，第三方也答不了；但两种解释对应的动作是同一组：默认拒绝出网、在工具调用执行前拦、禁非特权 user namespace、把评测沙箱和生产隔开1。这四条不依赖答案，所以不必等答案。

自托管决定的只是它在哪里跑。它带不带一个出口，是另一件事。