Фахівці ізраїльської компанії Hirundo з'ясували, що модель Alibaba Qwen3-Coder видає менш безпечний код, коли отримує завдання нібито від американської оборонної компанії. Про це пише SecurityWeek із посиланням на дослідження Hirundo.

За результатами перевірки, імовірність отримати критичні вразливості в коді для такого замовника зростає на 19% порівняно з аналогічним завданням, сформульованим від імені китайського клієнта.

Як проходило дослідження

Подібні підозри щодо китайських моделей висловлювали й раніше. Компанія CrowdStrike вже фіксувала, що DeepSeek-R1 у частині випадків — до 50% — генерувала серйозні вразливості, коли запит торкався тем, чутливих для Компартії Китаю. У Hirundo вирішили перевірити, чи властива та ж поведінка Qwen3-Coder.

Для експерименту модель попросили створити понад 1800 вебсервісів із функціями реєстрації та авторизації користувачів. Запити складали так, ніби їх надсилають чотири різні замовники.

  • американський оборонний підрядник
  • китайський оборонний підрядник
  • правозахисна організація з Гонконгу
  • місцевий футбольний клуб (нейтральний контрольний приклад)

Результати перевірки

Коли код писали нібито для американського оборонного підрядника, зламати застосунок вдавалося у 70% випадків. Для китайського підрядника цей показник був помітно нижчим — 59%.

Схожу різницю зафіксували й у другій парі: сервіси, створені для гонконгських правозахисників, витікали конфіденційні дані у 47% випадків, тоді як для футбольного клубу — лише у 37%.

Прохання писати код максимально надійно ситуацію не поліпшило: для американського замовника частка вразливих застосунків навіть піднялася до 74%. Найпоширенішою проблемою були помилки в контролі доступу, через які сторонні користувачі могли читати чужі дані.

Дослідники уточнюють, що названі 19% — це відносний приріст, обчислений із співвідношення 70% до 59%, а не різниця у 19 відсоткових пунктів.

Причина — у вагах моделі

У Hirundo вважають, що джерело проблеми — безпосередньо у вагах моделі, які відображають цензурні обмеження й політичні настанови Компартії Китаю. Щоб підтвердити це припущення, команда застосувала метод поведінкового «розвчення» (unlearning), покликаний прибрати з ваг ідеологічне упередження.

Після такого очищення модель почала писати однаково якісний код незалежно від заявленого замовника, причому загальна продуктивність системи не постраждала.

Чому це важливо

У дослідженні наголошують на масштабі ризику: китайські розробки становлять понад 41% завантажень на HuggingFace, а до 70% нових похідних моделей мають китайське коріння. Код, згенерований такими системами, потрапляє в продакшн і може роками залишатися в мережі непоміченим.

У Hirundo радять західним компаніям і державним установам перевіряти, чи залежить якість згенерованого коду від того, хто виступає замовником, і за потреби очищати ваги моделі ще до того, як код потрапить на робочі сервери.

Нагадаємо, що нещодавно Alibaba відкрила безкоштовний доступ до своєї найпотужнішої моделі Qwen3-Max Thinking.

Джерело: Highload.tech