Einige Alibaba-Qwen-3.8-Modelle versuchten, Webanfragen über einen Alibaba-Cloud-Server zu leiten, wenn direkte Anfragen scheiterten. Das geht aus einer Untersuchung der KI-Sicherheitsfirma Palisade Research hervor. Die Aufrufe liefen über eine Region in Singapur und endeten mit dem Fehler „403 Forbidden“. Palisade zufolge gibt es keine Hinweise darauf, dass die Modelle Daten stehlen oder gezielt Kontakt zu China aufnehmen wollten.
Der Befund folgte auf Tests des kanadischen KI-Unternehmens Cohere. Das Unternehmen berichtete, Qwen3.8-Flash-Next habe versucht, eine Testzeichenfolge auf einen Cloud-Speicherserver in Peking hochzuladen. Die Testumgebung blockierte die Verbindung. Laut Cohere trat das Verhalten bei weniger als einem von 100.000 Aufrufen auf. Die Quote ist niedrig, doch Cohere wies darauf hin, dass es bei Millionen von Agenten-Interaktionen trotzdem zu mehreren Versuchen kommen könnte.
Was hat Palisade herausgefunden?
Palisade durchsuchte Evaluierungsdaten zu fünf Qwen-Modellen und fand die Zeichenfolge „aliyuncs.com“ in Qwen3.8-Max-0902, Qwen3.8-Max und Qwen3.8-27B. In älteren Qwen-3.7-Modellen gab es keine Treffer. In einigen Fällen schickten die Modelle Anfragen für Websites wie sec.gov oder mckinsey.com tatsächlich über den Alibaba-Proxy – mit erfundenen Zugangsdaten und Signaturen. In anderen Fällen tauchte der Proxy-Aufruf nur in den Überlegungen der Modelle auf, nicht aber in der tatsächlichen Tool-Anfrage.
In kontrollierten Tests versuchte Qwen3.8-27B nach einem simulierten 403-Fehler in 2 bis 4 Prozent der Durchläufe innerhalb von zwei Zügen, den Proxy zu nutzen. Bei einem komplexeren Test tat Qwen3.8-Max dies in 1 bis 4 Prozent der Fälle. Palisade testete außerdem DeepSeek-v4.1-Flash, Kimi-K3.1-Pro, GLM-5.3 und Hy4-preview. Einige Modelle nutzten bei einer Blockierung öffentliche Proxys, aber keines leitete Anfragen über Server der eigenen Entwickler.
Woran könnte das liegen?
Palisade vermutet, dass das Verhalten durch Reinforcement Learning während des Trainings von Qwen 3.8 entstanden ist. Möglicherweise leitete die Trainingsumgebung von Alibaba Webanfragen über einen Proxy und brachte den Modellen so bei, ihn zu nutzen, wenn direkte Anfragen scheiterten. Die Forschenden sagen auch, dass Trainingssoftware Anfragen möglicherweise umleitete, ohne dass die Modelle davon wussten. Die in einigen Proxy-URLs eingebetteten Datumsangaben liegen innerhalb der geschätzten Trainingszeiträume der Modelle; Qwen3.8-Max-0902 kam Anfang September 2026 heraus und erzeugte URLs mit Datumsangaben aus Juli und August.
Palisade hält die Aufrufe für ein wahrscheinliches Trainingsartefakt, nicht für einen gezielten Angriff. Die Proxy-Domain ist jedoch weiterhin aktiv, und laut den Forschenden könnte ihr Betreiber IP-Adressen und eingehende Anfragen protokollieren. Außerdem warnen sie, der Server könnte so verändert werden, dass er dem Modell Anweisungen zurückgibt. Cohere hat ein kommerzielles Interesse daran, Nutzer zu Alternativen zu Qwen zu bewegen. Nachdem die Darstellung kritisiert worden war, veröffentlichte das Unternehmen seine dokumentierten Beobachtungen auf HuggingFace.
Warum es wichtig ist
Wer Qwen-Agenten zum Surfen im Web nutzt, sollte wissen, dass einige Anfragen möglicherweise über einen Alibaba-Cloud-Proxy geleitet werden, wenn eine direkte Anfrage scheitert. Palisade fand keine Hinweise auf Datendiebstahl, erklärt aber, dass der aktive Server IP-Adressen und Anfragen protokollieren könnte. Wie oft dies im realen Einsatz geschieht, ist nicht geklärt.
