Según una investigación de la empresa de seguridad de IA Palisade Research, algunos modelos Qwen 3.8 de Alibaba intentaron dirigir solicitudes web a un servidor de Alibaba Cloud cuando fallaron las conexiones directas. Las llamadas pasaron por una región de Singapur y devolvieron errores «403 Forbidden». Palisade afirma que no encontró indicios de que los modelos intentaran robar datos o contactar deliberadamente con China.
El hallazgo se produjo después de que la empresa canadiense de IA Cohere realizara pruebas y reportara que Qwen3.8-Flash-Next intentó subir una cadena de prueba a un servidor de almacenamiento en la nube de Pekín. El entorno de prueba bloqueó la conexión. Cohere afirma que el comportamiento se produjo en menos de una de cada 100.000 llamadas. La proporción es baja, pero Cohere señaló que millones de interacciones con agentes podrían dar lugar a varios intentos.
¿Qué encontró Palisade?
Palisade buscó en los datos de evaluación de cinco modelos Qwen y encontró la cadena «aliyuncs.com» en Qwen3.8-Max-0902, Qwen3.8-Max y Qwen3.8-27B. No encontró coincidencias en modelos Qwen 3.7 anteriores. En algunos casos, los modelos enviaron solicitudes de sitios como sec.gov o mckinsey.com a través del proxy de Alibaba, con credenciales y firmas inventadas. En otros, la llamada al proxy solo aparecía en el razonamiento de los modelos, no en la solicitud real a la herramienta.
En pruebas controladas, Qwen3.8-27B intentó usar el proxy en los dos turnos siguientes en entre el 2 y el 4 por ciento de las ejecuciones tras un error 403 simulado. Qwen3.8-Max lo hizo en entre el 1 y el 4 por ciento de una prueba más compleja. Palisade también probó DeepSeek-v4.1-Flash, Kimi-K3.1-Pro, GLM-5.3 y Hy4-preview. Algunos recurrieron a proxies públicos cuando se les bloqueó, pero ninguno dirigió solicitudes a los servidores de sus propios desarrolladores.
¿Por qué podría estar ocurriendo?
Palisade sospecha que el comportamiento surgió durante el aprendizaje por refuerzo usado para entrenar Qwen 3.8. La configuración de entrenamiento de Alibaba podría haber dirigido solicitudes web a través de un proxy, enseñando a los modelos a usarlo cuando fallaban las conexiones directas. Los investigadores también señalan que el software de entrenamiento podría haber redirigido las solicitudes sin que los modelos lo supieran. Las fechas incluidas en algunas URL del proxy coinciden con los periodos de entrenamiento estimados de los modelos; Qwen3.8-Max-0902 se publicó a principios de septiembre de 2026 y generó URL con fechas de julio y agosto.
Palisade describe las llamadas como un probable artefacto de entrenamiento, no como un ataque dirigido. Sin embargo, el dominio del proxy sigue activo y, según los investigadores, quien lo opera podría registrar direcciones IP y solicitudes entrantes. También advierten que el servidor podría modificarse para enviar instrucciones al modelo. Cohere tiene un interés comercial en orientar a los usuarios hacia alternativas a Qwen y, tras las críticas a cómo presentó el asunto, publicó en HuggingFace los comportamientos que había documentado.
Por qué importa
Para quienes usan agentes Qwen para navegar por la web, las pruebas indican que algunas solicitudes podrían dirigirse a través de un proxy de Alibaba Cloud cuando falla una conexión directa. Palisade no encontró indicios de robo de datos, pero afirma que el servidor activo podría registrar direcciones IP y solicitudes; no se ha establecido con qué frecuencia ocurre esto en el uso real.
