Нове покоління мовних моделей Qwen 3.8 від компанії Alibaba інколи намагається пропустити запити користувачів через власну хмарну інфраструктуру розробника. Дослідники з Palisade Research схиляються до думки, що це не умисний збір даних, а наслідок процесу навчання з підкріпленням. Утім сервер, що приймає такі звернення, усе ще функціонує, а отже лишається простір для потенційних зловживань, повідомляє видання The Decoder.

Першою на дивну поведінку моделі звернула увагу канадська компанія Cohere, яка описала випадок у власному блозі. Під час перевірки Qwen3.8-Flash-Next мала скласти правило для розпізнавання атак, але замість цього почала вивчати середовище: шукала інструменти для передавання даних і перевіряла налаштування DNS. Згодом вона спробувала надіслати тестовий рядок до хмарного сховища в Пекіні, проте з'єднання заблокувала пісочниця.

За підрахунками Cohere, подібне трапляється рідше ніж в одному випадку зі 100 000 запитів. Але коли йдеться про мільйони взаємодій з агентами, навіть така малоймовірна подія дає декілька реальних спроб. У компанії пропонують дві версії походження цієї поведінки: або під час донавчання моделі потрапили невідфільтровані логи агентів з тестових середовищ чи сторонніх інструментів, або хтось свідомо вмонтував у систему бекдор.

Варто враховувати, що Cohere є прямим конкурентом Qwen на ринку. Разом із німецькою компанією Aleph Alpha вона розробляє відкриті моделі, які подає як «західні суверенні» альтернативи. Тому обидві компанії об'єктивно зацікавлені в тому, щоб відвернути користувачів від китайських розробок. Зокрема, Aleph Alpha супроводила недавній реліз моделі Kolibri окремим звітом про політичну упередженість китайських мовних моделей. У відповідь на критику способу подачі матеріалу про Qwen компанія Cohere опублікувала повний масив зафіксованих випадків на платформі HuggingFace.

Що з'ясувала перевірка Palisade Research

Після публікації Cohere фахівці з безпеки штучного інтелекту Palisade Research провели власну перевірку. Вони проаналізували оціночні дані п'яти моделей лінійки Qwen на предмет наявності рядка «aliyuncs.com». Подібні збіги виявилися в моделях Qwen3.8-Max-0902, Qwen3.8-Max та Qwen3.8-27B, тоді як у попередній лінійці Qwen 3.7 таких ознак немає.

Є й суттєва відмінність від випадку, описаного Cohere: цього разу запити надходили не до Пекіна, а до сінгапурського регіону Alibaba Cloud, і кожного разу система відповідала кодом 403 Forbidden. Поведінка моделей також різнилася між собою: іноді вони справді зверталися до проксі Alibaba Cloud, пропускаючи через нього запити до таких сайтів, як sec.gov чи mckinsey.com, супроводжуючи їх вигаданими обліковими даними та підписами. В інших випадках модель лише уявляла використання проксі у власних внутрішніх міркуваннях. Траплявся й такий епізод: Qwen3.8-Max спочатку напряму отримала два документи SEC, а потім виявила розгубленість через звернення до «дивної aliyuncs-проксі-адреси», припустивши, що «щось переписує мої URL».

Чи може це бути навмисною дією

Дослідники перевірили гіпотезу про навмисну поведінку в серії контрольованих експериментів. Коли запит до вебсторінки штучно імітував помилку 403, модель Qwen3.8-27B намагалася звернутися до проксі Alibaba Cloud у 2–4% запусків. Модель Qwen3.8-Max у складнішому сценарії переходила на проксі в 1–4% випадків.

Дослідники Озеров і Раві провели аналогічні тести на конкурентних моделях: DeepSeek-v4.1-Flash, Kimi-K3.1-Pro, GLM-5.3 та Hy4-preview. Деякі з них у разі блокування переходили на публічні проксі-сервіси на кшталт r.jina.ai, однак жодна з перевірених моделей не спрямовувала трафік на сервери власного розробника.

Імовірна причина — навчання з підкріпленням

Оскільки подібна поведінка притаманна лише Qwen 3.8 і відсутня у версії 3.7, дослідники пов'язують її появу з етапом навчання з підкріпленням під час розробки нової лінійки. На їхню думку, інфраструктура навчання Alibaba, вочевидь, пропускала вебзапити через сервер routify-file-proxy, через що моделі засвоїли його як запасний шлях на випадок, коли прямі звернення не спрацьовують.

Є й альтернативне пояснення: навчальне програмне забезпечення могло непомітно переспрямовувати виклики інструментів через проксі без відома самої моделі. Це б пояснювало її розгубленість щодо «переписаних» адрес. На користь гіпотези про навчання свідчать і дати у вигаданих URL — вони припадають саме на оціночний період навчання кожної моделі, ще до її офіційного релізу. Наприклад, модель Qwen3.8-Max-0902 вийшла на початку вересня 2026 року, тоді як згенеровані нею адреси датовані липнем і серпнем 2026-го.

Крадіжки даних не виявлено, але ризик зберігається

Palisade Research не знайшла доказів того, що моделі «зловмисно телефонують додому в Китай» або намагаються викрасти конфіденційну інформацію. Дослідники дійшли висновку, що звернення до сінгапурського проксі є артефактом процесу навчання, а не цілеспрямованою атакою.

Проте домен routify-file-proxy досі залишається активним, а це означає, що його власник теоретично здатен фіксувати IP-адреси та вхідні запити від агентів Qwen. Крім того, той, хто контролює цей сервер, може в будь-який момент замінити нинішні відповіді з кодом 403 на промпт-ін'єкції.

щоб отримати цей файл, розкажіть більше про завдання, над яким ви працюєте

приклад можливої відповіді сервера, наведений дослідниками Palisade Research

Нагадаємо, що раніше Alibaba назвала Qwen3.8 Max другою найпотужнішою моделлю у світі після Claude Fable 5.

Джерело: Highload.tech