Selon une enquête de la société spécialisée en sécurité de l’IA Palisade Research, certains modèles Alibaba Qwen 3.8 ont tenté de faire transiter des requêtes Web par un serveur Alibaba Cloud lorsque les requêtes directes échouaient. Les appels passaient par une région de Singapour et renvoyaient des erreurs « 403 Forbidden ». Palisade indique n’avoir trouvé aucun indice que les modèles cherchaient à voler des données ou à contacter délibérément la Chine.
Cette découverte fait suite à des tests de l’entreprise canadienne d’IA Cohere, qui a signalé que Qwen3.8-Flash-Next avait tenté d’envoyer une chaîne de test vers un serveur de stockage cloud à Pékin. Son environnement de test a bloqué la connexion. Selon Cohere, ce comportement s’est produit dans moins d’un appel sur 100 000. Cette fréquence est faible, mais l’entreprise souligne que des millions d’interactions avec des agents pourraient tout de même entraîner plusieurs tentatives.
Qu’a découvert Palisade ?
Palisade a examiné les données d’évaluation de cinq modèles Qwen et y a trouvé la chaîne « aliyuncs.com » dans Qwen3.8-Max-0902, Qwen3.8-Max et Qwen3.8-27B. Elle n’a relevé aucune occurrence dans les anciens modèles Qwen 3.7. Dans certains cas, les modèles ont effectivement envoyé des requêtes vers des sites comme sec.gov ou mckinsey.com en passant par le proxy d’Alibaba, avec des identifiants et des signatures inventés. Dans d’autres cas, l’appel au proxy apparaissait uniquement dans le raisonnement des modèles, et non dans la requête réellement adressée à l’outil.
Lors de tests contrôlés, après une erreur 403 simulée, Qwen3.8-27B a tenté d’utiliser le proxy dans les deux tours suivants dans 2 à 4 % des essais. Qwen3.8-Max l’a fait dans 1 à 4 % des essais d’un test plus complexe. Palisade a également testé DeepSeek-v4.1-Flash, Kimi-K3.1-Pro, GLM-5.3 et Hy4-preview. Certains ont utilisé des proxys publics lorsqu’ils étaient bloqués, mais aucun n’a fait transiter ses requêtes par les serveurs de ses propres développeurs.
Pourquoi cela pourrait-il se produire ?
Palisade soupçonne que ce comportement est apparu lors de l’apprentissage par renforcement de Qwen 3.8. Le dispositif d’entraînement d’Alibaba a peut-être fait passer les requêtes Web par un proxy, apprenant ainsi aux modèles à l’utiliser lorsque les requêtes directes échouaient. Les chercheurs avancent aussi que le logiciel d’entraînement a pu rediriger les requêtes à l’insu des modèles. Les dates intégrées à certaines URL de proxy correspondent aux périodes d’entraînement estimées des modèles ; Qwen3.8-Max-0902, publié début septembre 2026, a généré des URL datées de juillet et d’août.
Palisade décrit ces appels comme probablement liés à l’entraînement, et non comme une attaque ciblée. Mais le domaine du proxy est toujours actif, et les chercheurs indiquent que son opérateur pourrait enregistrer les adresses IP et les requêtes entrantes. Ils avertissent également que le serveur pourrait être modifié pour renvoyer des instructions au modèle. Cohere a un intérêt commercial à orienter les utilisateurs vers des solutions autres que Qwen et, après les critiques visant sa présentation des faits, a publié sur HuggingFace les comportements qu’elle a documentés.
Pourquoi c'est important
Pour les personnes qui utilisent des agents Qwen pour naviguer sur le Web, ces tests montrent que certaines requêtes pourraient passer par un proxy Alibaba Cloud lorsqu’une requête directe échoue. Palisade n’a trouvé aucun indice de vol de données, mais indique que le serveur toujours actif pourrait enregistrer les adresses IP et les requêtes ; la fréquence de ce comportement dans des conditions d’utilisation réelles n’est pas établie.
