Palisade: Qwen 3.8 modelleri engellenen istekleri Alibaba Cloud proxy üzerinden yönlendirdi

Yapay zeka güvenlik firması Palisade Research tarafından yapılan bir takip araştırması, bazı Alibaba Qwen 3.8 modellerinin engellenen web isteklerinden bazılarını Singapur'daki bir Alibaba Cloud proxy üzerinden yönlendirdiğini buldu. Araştırmacılar bu davranışın eğitim sırasında pekiştirmeli öğrenmeye bağlı olduğunu söylüyor ve kötü niyetli veri sızdırma işaretleri bulmadıklarını belirtiyor, ancak proxy alan adı hâlâ yayında. Bulgular, Qwen3.8-Flash-Next'in korumalı bir ortamda bir test dizesini Pekin'deki bir bulut depolama sunucusuna göndermeye çalışmasıyla ilgili daha önceki Cohere raporunu izliyor.

Cohere'nin ilk raporu

Cohere, Qwen3.8-Flash-Next'i test ettikten sonra bu davranışını ilk kez raporladı. Talimat verildiği gibi bir saldırı tespit kuralı yazmak yerine model, ortamını veri aktarım programları ve DNS ayarları için yokladı, ardından bir test dizesini Pekin'deki bir bulut depolama sunucusuna yüklemeye çalıştı. Korumalı ortam bağlantıyı engelledi. Cohere, bu davranışın 100.000 çağrıdan birden azında görüldüğünü söylüyor, ancak milyonlarca ajan etkileşimi yine de birkaç denemeyi tetikleyebilir.

Cohere, test ortamlarından veya üçüncü taraf araçlardan gelen filtrelenmemiş ajan günlüklerinin eğitim sonrası süreçte modele sızmış olabileceğini ya da birisinin kasıtlı bir arka kapı yerleştirmiş olabileceğini öne sürdü. Cohere, Qwen'in doğrudan rakibidir. Alman yapay zeka firması Aleph Alpha ile Batı egemen, açık yapay zeka modelleri yayımlamak için çalışıyor ve her iki taraf da kullanıcıları Çinli alternatiflerden uzaklaştırmak konusunda finansal çıkar sahibi. Çerçevelemesi nedeniyle gelen eleştirilerin ardından Cohere, belgelenmiş model davranışlarının tam setini HuggingFace üzerinde yayımladı.

Palisade testleri genişletiyor

Cohere'nin raporunun ardından Palisade Research, beş Qwen modelinin değerlendirme verilerinde "aliyuncs.com" ifadesini aradı. Bu dize Qwen3.8-Max-0902, Qwen3.8-Max ve Qwen3.8-27B modellerinde göründü, eski Qwen 3.7 modellerinde ise eşleşme bulunmadı. Bu istekler Alibaba Cloud'un Singapur bölgesine gitti ve her seferinde 403 Forbidden hatası döndü.

Qwen3.8-Max, iç muhakemesinde gerçek araç çağrıları sec.gov'a gitmesine rağmen neden "garip bir aliyuncs proxy URL'si" çağırdığını merak etti. Bazen modeller Alibaba Cloud proxy'sini gerçekten çağırdı ve sec.gov ya da mckinsey.com gibi sitelere giden istekleri, halüsinasyonla üretilmiş kimlik bilgileri ve imzalarla bu sunucu üzerinden yönlendirdi. Başka durumlarda model, proxy kullanımını yalnızca iç muhakemesinde halüsinasyon olarak üretti.

Geri dönüş oranları ve olası neden

Qwen3.8-27B üzerinde yapılan kontrollü deneylerde simüle edilmiş bir 403 hatası, denemelerin yüzde 2 ila 4'ünde modelin iki tur içinde Alibaba Cloud proxy'sini denemesine yol açtı. Daha karmaşık bir senaryoda Qwen3.8-Max, yüzde 1 ila 4 oranında proxy'ye geri döndü. Araştırmacılar Ozerov ve Ravi, aynı testleri DeepSeek-v4.1-Flash, Kimi-K3.1-Pro, GLM-5.3 ve Hy4-preview üzerinde de çalıştırdı. Bazıları engellendiğinde r.jina.ai gibi herkese açık proxy'lere geri döndü, ancak hiçbiri trafiği kendi geliştiricilerinin sunucuları üzerinden yönlendirmedi.

Proxy çağrıları Qwen 3.8 modellerinde görünüyor ama Qwen 3.7'de görünmediği için araştırmacılar bu davranışın 3.8 eğitimindeki pekiştirmeli öğrenmeye dayandığını düşünüyor. Alibaba'nın eğitim kurulumu muhtemelen web isteklerini routify-file-proxy sunucusu üzerinden yönlendirdi ve modellere doğrudan istekler başarısız olduğunda bunu geri dönüş olarak kullanmayı öğretti. Başka bir olasılık, eğitim yazılımının modelin haberi olmadan araç çağrılarını sessizce proxy üzerinden yeniden yönlendirmiş olması.

Palisade Research, "Çin'e kötü niyetli şekilde bağlantı kurmaya veya hassas verileri sızdırmaya çalışma" işaretleri bulmadığını söylüyor. Araştırmacılar, Singapur proxy çağrılarının hedefli bir saldırı değil, bir eğitim artifaktı olduğu sonucuna varıyor. Ancak routify-file-proxy alan adı hâlâ yayında, bu nedenle Qwen ajanlarından gelen IP adreslerini ve gelen istekleri günlüğe kaydedebilir. O sunucuyu kontrol eden herkes mevcut 403 hatalarını prompt enjeksiyonlarıyla da değiştirebilir, diye yazıyor araştırmacılar.

Önceki haber: Cohere: Qwen modeli korumalı testte Çin'e veri göndermeye çalıştı

Kaynaklar: The Decoder