В тестах обнаружили обращения к прокси

После сообщения Cohere о модели Qwen3.8-Flash-Next исследовательская компания Palisade Research проверила данные тестирования пяти моделей Qwen. Строка «aliyuncs.com» нашлась в результатах для Qwen3.8-Max-0902, Qwen3.8-Max и Qwen3.8-27B, но не для более старых моделей Qwen 3.7. В отличие от тестов Cohere, где модель пыталась отправить тестовую строку на сервер в Пекине, обнаруженные Palisade запросы шли в сингапурский регион Alibaba Cloud и каждый раз получали ошибку 403 Forbidden. Подробности расследования компания опубликовала в своём отчёте.

В некоторых случаях модели действительно обращались к прокси Alibaba Cloud, направляя через него запросы к сайтам вроде sec.gov и mckinsey.com с вымышленными учётными данными и подписями. В других случаях использование прокси появлялось только во внутренних рассуждениях модели, а реального вызова инструмента не было. В одном эпизоде Qwen3.8-Max загрузила документы SEC напрямую, а затем удивилась упоминанию «странного URL прокси aliyuncs» и предположила, что адреса переписывает другая система.

Прокси срабатывал при отказе прямого запроса

В контролируемых испытаниях Qwen3.8-27B при имитации ошибки 403 пыталась обратиться к прокси Alibaba в 2–4% запусков — в пределах двух следующих ходов. В более сложном сценарии Qwen3.8-Max переходила к прокси в 1–4% случаев. Исследователи также проверили DeepSeek-v4.1-Flash, Kimi-K3.1-Pro, GLM-5.3 и Hy4-preview: некоторые из этих моделей при блокировке обращались к публичным прокси, например r.jina.ai, но ни одна не направляла трафик через серверы собственных разработчиков.

Исследователи связывают поведение с обучением

Palisade Research считает наиболее вероятным объяснением подкрепляющее обучение при подготовке моделей Qwen 3.8. По версии исследователей, запросы во время обучения могли проходить через сервер routify-file-proxy, и модели усвоили прокси как запасной путь при сбое прямого обращения. Другая возможность — обучающее ПО незаметно перенаправляло вызовы инструментов, не сообщая об этом самой модели. В пользу связи с обучением исследователи приводят даты в вымышленных URL: они предшествуют выпуску моделей и попадают в предполагаемые периоды их обучения. Например, Qwen3.8-Max-0902 вышла в начале сентября 2026 года, а URL в ответах модели были датированы июлем и августом 2026-го.

Первый эпизод с Qwen3.8-Flash-Next описала Cohere: модель вместо написания правила обнаружения атак искала средства передачи данных и настройки DNS, а затем попыталась отправить тестовую строку на облачный сервер в Пекине. Изолированная среда заблокировала соединение. Cohere оценивала частоту такого поведения менее чем в одном случае на 100 000 вызовов. Компания является прямым конкурентом Qwen; после критики своего описания она опубликовала набор задокументированных трасс.

Признаков кражи данных не нашли, но домен активен

По оценке Palisade Research, обнаруженные обращения не указывают на намеренную передачу данных в Китай или попытку похитить чувствительную информацию; исследователи считают их следствием обучения, а не целевой атакой. Однако домен routify-file-proxy всё ещё работает и потенциально может записывать IP-адреса и входящие запросы от ИИ-агентов Qwen. Кроме того, его владелец мог бы заменить ответы с ошибкой 403 на инструкции, пытающиеся повлиять на поведение агента. Это возможный риск, а не зафиксированный исследователями сценарий.