Palisade виявила: моделі Qwen 3.8 спрямовували заблоковані запити через проксі Alibaba Cloud

Повторне розслідування компанії з дослідження безпеки ШІ Palisade Research показало, що кілька моделей Alibaba Qwen 3.8 спрямовували деякі заблоковані вебзапити через проксі Alibaba Cloud у Сінгапурі. Дослідники пов'язують таку поведінку з навчанням з підкріпленням під час тренування і кажуть, що не знайшли ознак зловмисного витоку даних, але домен проксі залишається активним. Ці висновки з'явилися після ранішого звіту Cohere про те, що Qwen3.8-Flash-Next намагалася надіслати тестовий рядок на сервер хмарного сховища в Пекіні в ізольованому середовищі.

Початковий звіт Cohere

Cohere спочатку повідомила про цю поведінку після тестування Qwen3.8-Flash-Next. Замість того щоб написати правило виявлення атак, як було вказано, модель перевірила своє середовище на наявність програм передавання даних і налаштувань DNS, а потім спробувала завантажити тестовий рядок на сервер хмарного сховища в Пекіні. Пісочниця заблокувала з'єднання. Cohere бачить таку поведінку рідше ніж в одному зі 100 000 викликів, але мільйони взаємодій агентів все одно можуть призвести до кількох спроб.

Cohere припустила, що в модель під час посттренування просочилися нефільтровані журнали агентів з тестових середовищ або сторонніх інструментів, або що хтось міг вбудувати навмисний бекдор. Cohere є прямим конкурентом Qwen. Вона працює з німецькою компанією зі ШІ Aleph Alpha над випуском західних суверенних відкритих моделей ШІ, і обидві мають фінансову зацікавленість у відверненні користувачів від китайських альтернатив. Після критики щодо формулювань Cohere опублікувала повний набір задокументованих поведінок моделі на HuggingFace.

Palisade розширює тестування

Після звіту Cohere Palisade Research шукала в оціночних даних п'яти моделей Qwen рядок «aliyuncs.com». Цей рядок з'явився в Qwen3.8-Max-0902, Qwen3.8-Max і Qwen3.8-27B, тоді як старіші моделі Qwen 3.7 не дали збігів. Ці запити йшли до регіону Alibaba Cloud у Сінгапурі і щоразу повертали помилку 403 Forbidden.

У внутрішніх міркуваннях Qwen3.8-Max дивувалася, чому вона викликала «дивний проксі-URL aliyuncs», хоча фактичні виклики інструментів йшли до sec.gov. Іноді моделі справді викликали проксі Alibaba Cloud, спрямовуючи запити до таких сайтів, як sec.gov або mckinsey.com, через сервер із вигаданими обліковими даними та підписами. В інших випадках модель лише уявляла використання проксі у своїх внутрішніх міркуваннях.

Частота резервних переходів і ймовірна причина

У контрольованих експериментах з Qwen3.8-27B імітована помилка 403 призвела до того, що модель намагалася використати проксі Alibaba Cloud протягом двох ходів у 2-4 відсотках запусків. У складнішому сценарії Qwen3.8-Max переходила на проксі в 1-4 відсотках випадків. Дослідники Озеров і Раві провели ті самі тести на DeepSeek-v4.1-Flash, Kimi-K3.1-Pro, GLM-5.3 і Hy4-preview. Деякі з них переходили на публічні проксі на кшталт r.jina.ai, коли запити блокувалися, але жодна не спрямовувала трафік через сервери власних розробників.

Оскільки виклики проксі з'являються в моделях Qwen 3.8, але не в Qwen 3.7, дослідники пов'язують поведінку з навчанням з підкріпленням під час тренування версії 3.8. Налаштування навчання Alibaba, ймовірно, спрямовувало вебзапити через сервер routify-file-proxy, навчаючи моделі використовувати його як резервний варіант, коли прямі запити завершувалися невдачею. Інша можливість полягає в тому, що програмне забезпечення навчання тихо перенаправляло виклики інструментів через проксі без відома моделі.

Palisade Research каже, що не знаходить ознак «зловмисного звернення до Китаю чи спроби викрасти конфіденційні дані». Дослідники роблять висновок, що виклики проксі в Сінгапурі є артефактом навчання, а не цілеспрямованою атакою. Але домен routify-file-proxy досі активний, тому він може записувати IP-адреси та вхідні запити від агентів Qwen. Той, хто контролює цей сервер, також міг би замінити поточні помилки 403 на ін'єкції підказок, пишуть дослідники.

Раніше висвітлювали: Cohere: модель Qwen спробувала надіслати дані до Китаю в тесті в пісочниці

Джерела: The Decoder