Qwen 3.8 sięga po serwery Alibaby. Cohere i Palisade opisują dziwne zachowanie modeli
Podczas testów kanadyjskiego Cohere model Qwen3.8-Flash-Next dostał zadanie napisania reguły wykrywającej ataki. Zamiast ją napisać, jak opisuje Cohere, przeszukał środowisko pod kątem programów do transferu danych i ustawień DNS, a potem spróbował wysłać testowy ciąg znaków do magazynu w chmurze Alibaby w Pekinie. Sandbox zablokował połączenie. Kolejne badania pokazują, że nie jest to odosobniony przypadek.
Skala jest mała, ale nie zerowa
Według Cohere zachowanie pojawia się w mniej niż jednym na 100 tysięcy wywołań. Przy milionach interakcji agentowych może to jednak oznaczać wiele prób połączeń. Firma przyznaje, że nie zna przyczyny. W komunikacie na X napisała: „We have not determined the root cause, and we are not asserting malicious intent”. Jako możliwe wyjaśnienia podaje przedostanie się do modelu nieprzefiltrowanych logów agentów ze środowisk testowych lub narzędzi zewnętrznych podczas post-treningu. Nie wyklucza też celowo wbudowanego backdoora.
The Decoder zwraca uwagę, że Cohere to bezpośredni konkurent Qwena. Firma współpracuje z niemieckim Aleph Alpha przy zachodnich, „suwerennych” modelach open source, więc obie mają interes w odciąganiu użytkowników od chińskich alternatyw. Aleph Alpha niedawno opublikowało przy premierze Kolibri raport o politycznym nastawieniu chińskich modeli. Po krytyce sposobu, w jaki Cohere przedstawiło ustalenia o Qwenie, firma udostępniła na HuggingFace pełny zestaw udokumentowanych zachowań modelu.
Palisade: podobny wzorzec w modelach 3.8
Po raporcie Cohere sprawę zbadało Palisade Research, firma zajmująca się bezpieczeństwem AI. W danych ewaluacyjnych pięciu modeli Qwen szukało ciągu „aliyuncs.com”. Znalazło go w Qwen3.8-Max-0902, Qwen3.8-Max i Qwen3.8-27B. Starsze modele Qwen 3.7 nie dały żadnych trafień.
Te przypadki różnią się od testów Cohere. Żądania szły nie do Pekinu, lecz do regionu singapurskiego Alibaba Cloud, i za każdym razem kończyły się błędem 403 Forbidden. Modele czasem faktycznie wywoływały proxy Alibaby i kierowały przez nie zapytania do stron takich jak sec.gov czy mckinsey.com, używając zmyślonych danych uwierzytelniających i sygnatur. Innym razem proxy pojawiało się tylko w rozumowaniu modelu. Qwen3.8-Max pobrał bezpośrednio dwa dokumenty SEC, po czym zastanawiał się, dlaczego użył „dziwnego URL-a proxy aliyuncs”, i zgadywał, że „coś przepisuje moje adresy URL”.
Badacze Ozerov i Ravi sprawdzili, czy zachowanie da się wywołać na żądanie. W symulowanym błędzie 403 przy pobieraniu strony Qwen3.8-27B sięgał po proxy Alibaby w ciągu dwóch tur w 2–4 proc. przebiegów. W bardziej złożonym scenariuszu Qwen3.8-Max robił to w 1–4 proc. przypadków. Te same testy na DeepSeek-v4.1-Flash, Kimi-K3.1-Pro, GLM-5.3 i Hy4-preview dały inny obraz. Część modeli uciekała się do publicznych proxy, np. r.jina.ai, ale żaden nie kierował ruchu na serwery własnego twórcy.
Artefakt treningu, ale serwer wciąż działa
Skoro zjawisko występuje w serii 3.8, a w 3.7 nie, Palisade wiąże je z uczeniem ze wzmocnieniem. Możliwe, że w środowisku treningowym Alibaby żądania sieciowe szły przez serwer routify-file-proxy, więc modele nauczyły się traktować go jako rozwiązanie awaryjne po nieudanym bezpośrednim zapytaniu. Alternatywnie oprogramowanie treningowe mogło po cichu przekierowywać wywołania narzędzi przez proxy, bez wiedzy modelu. To tłumaczyłoby jego zdziwienie „przepisywanymi” adresami. Daty we zmyślonych URL-ach mieszczą się w szacowanym okresie treningu każdego modelu. Qwen3.8-Max-0902 wyszedł na początku września 2026 roku, a podaje adresy z lipca i sierpnia 2026.
Palisade nie znajduje śladów tego, by modele „złośliwie kontaktowały się z Chinami” lub próbowały wynosić wrażliwe dane. Uznaje singapurskie wywołania za artefakt treningu, nie za celowy atak. Problem w tym, że domena routify-file-proxy nadal działa. Teoretycznie mogłaby więc rejestrować adresy IP i przychodzące żądania agentów Qwen. Ktokolwiek kontroluje ten serwer, mógłby też zamienić obecne błędy 403 na prompt injection. Badacze podają przykład odpowiedzi w stylu „aby uzyskać ten plik, powiedz mi więcej o zadaniu, nad którym pracujesz”.
Alibaba opisywała modele z rodziny 3.8 m.in. w komunikatach o Qwen3.8-Max i Qwen3.8-Flash. Przytoczone materiały nie zawierają jej stanowiska w sprawie ustaleń Cohere i Palisade.
