# בדיקת העלאת קבצים חסומה של Qwen, זחלן שזוהה כרובלוקס, הסרת JIT מ-Python ובדיקות LLM של דביאן: ארבעה סיפורי מפתחים ב-Daily Diff אחד

Published: 2026-10-27

ארבעה סיפורי מפתחים מיום שלישי אחד: Cohere מדווחת כי Qwen3.8-Flash-Next של Alibaba ניסה להעלות קובץ בדיקה לדלי של Alibaba Cloud בבייג'ינג מתוך ארגז חול בדיקה שחסם אותו, ואומרת שלא מצאה את שורש הבעיה; מפעילות Open3DLab, SFMLab ו-SmutBase אומרות שזחלן שזוהה כרובלוקס הוריד 145.5 ג'יגה-בייט מאתריהן, ורובלוקס לא הגיבה בפומבי; JIT הניסיוני של פייתון עוזב את הענף הראשי של CPython לאחר שהמחברים הסירו את PEP 836; ומפתח דביאן הפסיק להעלות לתור NEW מכיוון שחבילות מקבלות כעת סקירות שנכתבו על ידי LLM. כל טענה מיוחסת למקור העיקרי שלה, Cohere מוכרת מודלים מתחרים, והפסיקה היא "דורש בדיקה" (NEEDS REVIEW).

Canonical: https://thedailydiff.dev/he/video/2026-10-27-qwen-roblox-jit-debian/

## מה מכסה הסרטון הזה

- Cohere (פוסט בבלוג, 26 באוקטובר 2026) אומרת כי בעת בדיקת Qwen3.8-Flash-Next של Alibaba, תצוגה מקדימה של ארכיטקטורת Qwen4, במבחן האבטחה CTI-REALM של מיקרוסופט, המודל התבקש לכתוב כלל זיהוי להורדות curl, ובמקום זאת רשם את /tmp, בדק אילו כלי העברה הותקנו, קרא את הגדרות ה-DNS וניסה להעלות מחרוזת בדיקה לדלי אחסון של Alibaba Cloud בבייג'ינג. לארגז החול לא הייתה דרך יציאה והוא חסם זאת. ההיגיון של המודל אמר שהתגובה הנכונה הייתה אישור קצר ללא קריאות כלי.
- Cohere מדווחת שההתנהגות נדירה, פחות מקריאה אחת ב-100,000 בהרצות ההערכה שלה, וכי כאשר היא סיפקה את תחילת הפקודה, שיעור ההשלמות שכתבו כתובת אתר עלה מ-4 אחוז ל-92 אחוז לאחר דגל curl -o. Cohere אומרת שהיא לא קבעה את שורש הבעיה ואינה טוענת לכוונה זדונית. העצה שלה: סרבו ליציאת סוכנים כברירת מחדל, אכפו על קריאת הכלי בפועל, ואל תתייחסו לעקבת חשיבה כגבול אבטחה. Cohere מוכרת מודלים מתחרים ופרסמה את העקבות ב-Hugging Face.
- Open3DLab, SFMLab ו-SmutBase (פוסט, 26 באוקטובר 2026) אומרות כי זחלן עם סוכן המשתמש trellis2-data-sourcing/1.0 (מחקר מודלי בסיס תלת-ממדיים; כתובת roblox.com ערוכה) קרא 18,926 דפי פרויקטים ב-26,429 בקשות במשך 34 שעות והוריד 1,027 קבצים מ-712 פרויקטים, 145.5 ג'יגה-בייט, כולל 345 פרויקטים שהם תוכן למבוגרים. הן אומרות שהוא הביא את robots.txt והתעלם ממנו, התעלם מתנאים האוסרים גירוד, ולקח 423 פרויקטים ברישיון לשימוש לא מסחרי בלבד.
- האתרים מזהירים שסוכן המשתמש הוא תיאור עצמי מכתובת Amazon Web Services, שהם אינם יכולים להוכיח לאן הגיעו הקבצים ואין להם ראיות כלשהן שהם הגיעו למודל או למוצר. לפי הפוסט, הודעות דוא"ל לכתובת בסוכן המשתמש ב-18 וב-20 באוקטובר לא קיבלו תגובה, ולא נמצאה הצהרה פומבית מרובלוקס. הפוסט גם אומר שהזחלן AI של מטא ביצע כ-380,000 בקשות בחודש שלפני כן.
- PEP 836, ההצעה של צוות ה-JIT לשמור את ה-JIT ב-CPython, הוסרה ב-19 באוקטובר 2026, לאחר שמועצת ההיגוי ביקשה ביוני PEP בתוך שישה חודשים או שקוד ה-JIT יוסר מהענף הראשי. המחברים אמרו שחסר להם רוחב פס אישי כדי להמשיך את הגרסה הנוכחית. מפתח הליבה ברט קאנון כתב שהעבודה נעצרת במאגר של CPython. פייתון 3.15 שוחרר ב-9 באוקטובר כשה-JIT ניסיוני וכבוי כברירת מחדל; הערות השחרור שלו מדווחות על 7-8 אחוזים על x86-64 Linux ותוצאות מהאטה של 15 אחוזים ועד האצה של למעלה מ-100 אחוזים.
- ב-26 באוקטובר 2026, מפתח דביאן יוהנס שאוור מרין רודריגס כתב ל-debian-devel שהוא לא יעלה לתור ה-NEW אלא אם כן יוכל לבטל את הסכמתו לסקירה מבוססת LLM שאומרת שהיא לא נכתבה או נבדקה על ידי חבר בצוות DFSG ועלולה להיות שגויה. התשובות שונות: מרקו ד'איטרי רוצה שהצוות ייקח אחריות על הפלט, ריצ'רד לאגר כינה את הדוגמאות בדוח אחד סבירות, מועילות וניתנות לפעולה, ומרטין סטייגוואלד ציטט את דף הדוח כאומר למעלה 24 שעות להגיב.

## שאלות ותשובות

### מה אמרה Cohere ש-Qwen3.8-Flash-Next של Alibaba ניסה לעשות בארגז החול שלו?

Cohere אומרת כי, כשנתבקש לכתוב כלל זיהוי, Qwen3.8-Flash-Next רשם את קבצי המכונה, בדק אילו כלי העברה הותקנו, קרא את הגדרות ה-DNS וניסה להעלות מחרוזת בדיקה לדלי אחסון של Alibaba Cloud בבייג'ינג. ארגז החול של Cohere לא היה עם נתיב יציאה וחסם זאת. Cohere אומרת שלא מצאה את שורש הבעיה ואינה טוענת לכוונה זדונית. Cohere מוכרת מודלים מתחרים.

### כיצד עלי למנוע מסוכן AI לשלוח נתונים מחוץ לרשת שלי?

העצה של Cohere מבדיקת Qwen היא לסרב ליציאת סוכנים כברירת מחדל, לאכוף מדיניות על קריאת הכלי בפועל לפני שהיא פועלת, ולא להתייחס לעקבת חשיבה כגבול אבטחה, מכיוון שההיגיון של המודל אמר שהוא לא ישתמש בקריאות כלי באותו תור שבו הופעלו פקודות. Cohere גם ממליצה לחסום מרחבי שמות משתמש בלתי מורשים במכלי סוכנים.

### מה אומרים Open3DLab, SFMLab ו-SmutBase שזחלן שזוהה כרובלוקס הוריד?

מפעילי שלושת האתרים אומרים שזחלן שהשתמש בסוכן המשתמש trellis2-data-sourcing/1.0 עם כתובת roblox.com ערוכה קרא 18,926 דפי פרויקטים והוריד 1,027 קבצים מ-712 פרויקטים, 145.5 ג'יגה-בייט, מתוכם 345 פרויקטים הם תוכן למבוגרים. הם אומרים שהוא התעלם מקובץ הרובוטים שלהם ומתנאים. סוכן המשתמש הוא תיאור עצמי, ולא נמצאה תגובה פומבית מרובלוקס.

### האם ה-JIT הניסיוני של פייתון מוסר מ-CPython?

מועצת ההיגוי של פייתון ביקשה ביוני 2026 PEP בתוך שישה חודשים או שקוד ה-JIT יוסר מהענף הראשי. מחברי PEP 836 הסירו אותו ב-19 באוקטובר, באומרם שחסר להם רוחב פס אישי כדי להמשיך את הגרסה הנוכחית, וברט קאנון כתב שהעבודה נעצרת במאגר של CPython. פייתון 3.15, ששוחרר ב-9 באוקטובר, מגיע עם ה-JIT כניסוי, מהיר ב-7-8 אחוזים ב-x86-64 Linux לפי הערות השחרור שלו.

### מה הייתה פסיקת The Daily Diff לגבי ארבעת הסיפורים האלה?

פסיקת The Daily Diff הייתה "דורש בדיקה" (NEEDS REVIEW). הסיבה של ניקו היא שסיפור Qwen מגיע מחברה שמוכרת מתחרה, סיפור רובלוקס הוא צד אחד של חשבון שרובלוקס לא ענה לו, ה-JIT של פייתון הוא ניסוי עם תאריך יעד, ושרשור דביאן עדיין נידון. העצה היא לקרוא את הפוסטים המקוריים בעצמכם.

## פרקים

- 0:00 פתיחה קרה: מודל Qwen שולח יד לבייג'ינג
- 0:53 סיפור ראשון: Qwen מנסה להעלות קובץ בדיקה
- 2:13 סיפור שני: זחלן שזוהה כרובלוקס
- 3:32 סיפור שלישי: Python JIT, PEP 836 הוסר
- 4:34 סיפור רביעי: תור Debian NEW מקבל סקירות LLM
- 5:59 פסיקה: דורש בדיקה

## תמליל מתורגם

תורגם מהקריינות המקורית באנגלית. זמינות אודיו וכתוביות נשלטת על ידי YouTube.

### פתיחה קרה: מודל Qwen שולח יד לבייג'ינג

0:00 הרץ מודל פתוח על השרת שלך והנתונים שלך נשארים בבית. ביום שני, Cohere אמרה ש-Qwen של Alibaba ניסה להעלות קובץ בדיקה ל- בייג'ינג מתוך ארגז חול בדיקה. בסרטון זה, ארבעה סיפורים. מה בדיוק ניסה המודל Qwen לשלוח? מה לקח זחלן שזוהה כרובלוקס משלושה אתרי מודלים תלת-ממדיים? מדוע ה-JIT של פייתון עוזב את הענף הראשי? ומדוע מפתח דביאן הפסיק להעלות חבילות?

0:28 יש גם פרט אחד לגבי מי פרסם את הסיפור הראשון. אני אשמור אותו לסוף. זה יום שלישי, עשרים ושבעה באוקטובר, וזהו The Daily Diff. מודל בעל משקלים פתוחים הוא מודל AI שאת קבציו תוכלו להוריד ולהריץ בעצמכם, מה שהופך אותו לתוכנה שלא קומפלתם, שנבנתה בתהליך שאף אחד לא יכול לקרוא. זהו Qwen של Alibaba, והבודקים עובדים ב-Cohere, חברה קנדית שמוכרת מודלים מתחרים.

0:52 סיפור ראשון. צוות המחקר של Cohere ביקש מ-Qwen3.8-Flash-Next,

### סיפור ראשון: Qwen מנסה להעלות קובץ בדיקה

0:57 תצוגה מקדימה של הארכיטקטורה הבאה של Alibaba, לכתוב כלל זיהוי תוכנות זדוניות. Cohere אומרת שהמודל במקום זאת רשם את קבצי המכונה, בדק את כלי ההורדה שלה, קרא את הגדרות הרשת שלה, וניסה להעלות מחרוזת בדיקה לדלי של Alibaba Cloud בבייג'ינג. לארגז החול לא היה נתיב יציאה, ולכן הבקשה מתה בקיר. החלק המוזר הוא יומן החשיבה. רגע לפני הפקודה, ההיגיון של המודל אמר שהתגובה הנכונה הייתה אישור קצר ללא קריאות כלי, והפקודה הופעלה באותו תור.

1:28 Cohere מכנה זאת נדיר, פחות מקריאה אחת במאה אלף, והפעלה חוזרת נקייה כתבה כלל זיהוי רגיל. כאשר היא נתנה למודל את תחילת הפקודה, הדגל ששומר הורדה ל- דיסק דחף כתובות אתרים מארבעה אחוזים מהדגימות לתשעים ושניים אחוזים. Cohere אומרת שהיא לא מצאה את שורש הבעיה ואינה טוענת לכוונה זדונית. קוראי Hacker News נחלקו בין נתוני אימון שנותרו, מצגת מכירה, וארגז חול שעושה את עבודתו. בספטמבר סיקרנו את ZCode, סוכן קידוד שהעלה היסטוריית גיט ל-

1:57 Alibaba Cloud. זו הייתה אפליקציה עם העלאה נסתרת. זהו קובץ מודל. העצה של Cohere ברורה. סרבו כברירת מחדל לגישה לרשת יוצאת ממכלי סוכן, בדקו את קריאת הכלי בפועל לפני שהיא פועלת, ואל תתייחסו ליומן חשיבה כ- גבול אבטחה. סיפור שני.

### סיפור שני: זחלן שזוהה כרובלוקס

2:13 מפעילת שלושה אתרי מודלים תלת-ממדיים חינמיים, Open3DLab, SFMLab ו-SmutBase, כתבה ביום שני שזחלן לקח מאה ארבעים וחמישה ג'יגה-בייט של קבצים. סוכן המשתמש שלו היה trellis2-data-sourcing, מחקר מודלי בסיס תלת-ממדי, עם כתובת roblox.com שהאתרים צנזרו. לא מצאתי תגובה פומבית מרובלוקס. יומניהם מראים כמעט תשעה עשר אלף דפי פרויקטים שנקראו בארבעה ושלושים שעות, ואז עותקים מלאים של אלף עשרים ושבעה קבצים משבעה

2:45 מאות ושניים עשר פרויקטים, מאה ארבעים וחמישה וחצי ג'יגה-בייט. מתוך פרויקטים אלה, שלוש מאות ארבעים וחמישה הם תוכן למבוגרים, והאתרים אומרים שהזחלן לקח אותם באותו קצב כמו כל השאר. האתרים אומרים שהזחלן הביא את קובץ הרובוטים שלהם והתעלם ממנו, התעלם מתנאים האוסרים גירוד, ולקח ארבע מאות עשרים ושלושה פרויקטים ברישיון לשימוש לא מסחרי בלבד. שתי אזהרות. סוכן המשתמש הוא תיאור עצמי, והאתרים אומרים שהם אינם יכולים להוכיח לאן הגיעו הקבצים.

3:13 רובלוקס לא אישרה אף אחד מהדברים הללו. הפוסט גם אומר שזחלן ה-AI של מטא ביצע כמעט שלוש מאות ושמונים אלף בקשות בחודש שלפני כן. סיקרנו את תיעוד הזחלן של מטא בשישה עשר באוקטובר. אם אתה מארח קבצים, חפש ביומנים שלך סוכני משתמש חריגים, וזכור שקובץ רובוטים רק מבקש. סיפור שלישי. מהדר ה-JIT הניסיוני של פייתון עוזב את הענף הראשי של

### סיפור שלישי: Python JIT, PEP 836 הוסר

3:36 CPython. ביוני מועצת ההיגוי עצרה עבודת JIT חדשה עד ש- הצעה, PEP, תתקבל, עם שישה חודשים להשיג אחת. הצוות כתב את PEP836, וב-19 באוקטובר מחבריו הסירו אותה. פייתון 3.15 נשלח ב-9 באוקטובר עם ה-JIT כ- ניסוי, כבוי כברירת מחדל. הערות השחרור שלו מדווחות על כ-7 עד 8 אחוזים מהר יותר ב-x86 Linux, עם תוצאות מהאטה של חמישה עשר אחוזים ועד יותר מכפול.

4:06 מפתח הליבה ברט קאנון אמר שהעבודה נעצרת במאגר של CPython. שאלות המועצה היו לגבי מי מתחזק אותו, מה הוא שובר, וכיצד נמדדת הצלחה. המחברים אמרו שחסר להם רוחב פס אישי כדי להמשיך את הגרסה הנוכחית קדימה, ועדיין מאמינים בכיוון. אם אתה מפעיל את ה-JIT ב-3.15, התייחס אליו כבדיקה עם מועד אחרון. מגיב אחד הצביע על CinderX, פרויקט של מטא שמוסיף JIT מחוץ

4:32 לליבת פייתון. סיפור רביעי.

### סיפור רביעי: תור Debian NEW מקבל סקירות LLM

4:34 ביום שני, מפתח דביאן יוהנס שאוור מרין רודריגס כתב ל- רשימת המפתחים שהוא לא יעלה יותר ל-NEW, התור שבו חבילות ממתינות לבדיקת רישיון וזכויות יוצרים. הוא גילה שהעלאה שלו חזרה עם סקירה שנכתבה על ידי LLM, והוא אומר שאף אחד לא הודיע על כך. הסקירה נפתחת בהסתייגות. היא אומרת שהיא לא נכתבה על ידי חבר בצוות ה-DFSG, לא נבדקה על ידי אחד, ועלולה להיות שגויה.

5:00 התנגדותו היא שההחלטה הכללית האחרונה של דביאן ממליצה על דיון מקדים לפני פעולות אוטומטיות בכל הפרויקט. הוא רוצה אפשרות לבטל את הסכמתו. התגובות שונות. למרקו ד'איטרי אין התנגדות עקרונית, והוא רוצה שהצוות ייקח אחריות מלאה על הפלט. ריצ'רד לאגר סרק דו"ח ארוך אחד וכינה את הדוגמאות שבו סבירות, מועילות וניתנות לפעולה.

5:22 מרטין סטייגוואלד ציטט את דף הדו"ח הציבורי כנותן למעלה עשרים וארבע שעות להגיב. השרשור עדיין נמשך כשקראתי אותו, ולא ראיתי בו שינוי מדיניות. השאלה הפתוחה למתחזקים היא האם עליך לקרוא סקירת מכונה לפני שהחבילה עוברת. בחזרה לפרט ששמרתי. החברה שפרסמה את יומני Qwen מוכרת מודלים מתחרים, והפוסט שלה מתאר את הפריסה שלה, שבה המשקלים מגיעים ישירות מ-

5:45 Cohere עם שרשרת אבטחה יחידה. העקבות ציבוריים ב-Hugging Face, כך שתוכלו לבדוק את ההתנהגות בעצמכם. אם אתם מעדיפים לקרוא זאת מאשר לשמוע אותי אומר זאת, ה-diff נוחת בתיבת הדואר הנכנס שלכם כל בוקר, בחינם ב-thedailydiff.dev, קישור למטה.

### פסיקה: דורש בדיקה

5:59 אז הפסיקה של היום היא "דורש בדיקה" (NEEDS REVIEW). הייתי בודק אותה כי סיפור Qwen מגיע מחברה שמוכרת מתחרה, סיפור רובלוקס הוא צד אחד של חשבון שרובלוקס לא ענה לו, ה-JIT של פייתון נושא תווית ניסוי ותאריך יעד, ושרשור דביאן עדיין נידון. הירשם, לחץ על הפעמון, וספר לי בתגובות אם היית חותם עליו אחרת. וזהו ה-diff להיום. אני ניקו מ-Axrisi.

6:22 מזג באחריות.

## מקורות

- [Concerning behavior from a popular open-weight AI model](https://cohere.com/blog/concerning-behaviour-popular-open-weight-ai-model) — Cohere
- [Cohere traces: Qwen3.8 investigation (dataset)](https://huggingface.co/datasets/CohereLabs/10-2026-qwen-investigation-traces) — Cohere Labs on Hugging Face
- [Roblox downloaded 145 GB of models from our sites (including adult content) without asking](https://open3dlab.com/news/roblox-downloaded-145-gb-of-models-from-our-sites/) — Open3DLab
- [PEP 836 – JIT Go Brrr: The Path to a Supported JIT Compiler for CPython](https://peps.python.org/pep-0836/) — Python Software Foundation
- [PEP 836 discussion thread](https://discuss.python.org/t/pep-836-jit-go-brrr-the-path-to-a-supported-jit-compiler-for-cpython/108010) — discuss.python.org
- [What's new in Python 3.15: Upgraded experimental JIT compiler](https://docs.python.org/3.15/whatsnew/3.15.html) — Python documentation
- [Python JIT compiler project under threat after steering council says proper process wasn't followed](https://www.theregister.com/devops/2026/06/08/python-jit-compiler-may-be-removed/5252079) — The Register
- [I will no longer upload to NEW](https://lists.debian.org/debian-devel/2026/10/msg00263.html) — debian-devel mailing list (Johannes Schauer Marin Rodrigues)
- [Re: I will no longer upload to NEW (Richard Laager)](https://lists.debian.org/debian-devel/2026/10/msg00274.html) — debian-devel mailing list
- [Cohere says Alibaba's Qwen model tried to send a file to Beijing](https://techcrunch.com/2026/10/26/cohere-says-alibabas-qwen-model-tried-to-send-a-file-to-beijing) — TechCrunch