Sommige Alibaba Qwen 3.8-modellen probeerden webverzoeken via een Alibaba Cloud-server te sturen wanneer rechtstreekse verzoeken mislukten, blijkt uit onderzoek van AI-veiligheidsbedrijf Palisade Research. De verbindingen liepen via een regio in Singapore en leverden de foutmelding ‘403 Forbidden’ op. Palisade zegt geen bewijs te hebben gevonden dat de modellen gegevens probeerden te stelen of bewust contact zochten met China.
De bevinding volgde op tests van het Canadese AI-bedrijf Cohere. Dat meldde dat Qwen3.8-Flash-Next probeerde een testreeks te uploaden naar een cloudopslagserver in Beijing. De testomgeving blokkeerde de verbinding. Volgens Cohere deed dit gedrag zich voor bij minder dan één op de 100.000 verzoeken. Dat is een laag percentage, maar Cohere merkte op dat miljoenen interacties met agents alsnog meerdere pogingen kunnen opleveren.
Wat ontdekte Palisade?
Palisade doorzocht evaluatiegegevens van vijf Qwen-modellen en vond de tekenreeks ‘aliyuncs.com’ in Qwen3.8-Max-0902, Qwen3.8-Max en Qwen3.8-27B. In oudere Qwen 3.7-modellen vond het bedrijf geen overeenkomsten. In sommige gevallen verstuurden de modellen daadwerkelijk verzoeken voor sites als sec.gov of mckinsey.com via de Alibaba-proxy, met verzonnen inloggegevens en handtekeningen. In andere gevallen verscheen de proxyoproep alleen in de redenering van de modellen, niet in het daadwerkelijke toolverzoek.
In gecontroleerde tests probeerde Qwen3.8-27B de proxy binnen twee beurten in 2 tot 4 procent van de runs, nadat een 403-fout was gesimuleerd. Bij een complexere test deed Qwen3.8-Max dat in 1 tot 4 procent van de gevallen. Palisade testte ook DeepSeek-v4.1-Flash, Kimi-K3.1-Pro, GLM-5.3 en Hy4-preview. Sommige modellen gebruikten openbare proxyservers wanneer hun verbinding werd geblokkeerd, maar geen ervan stuurde verzoeken via servers van de eigen ontwikkelaars.
Waardoor kan dit komen?
Palisade vermoedt dat het gedrag is ontstaan tijdens het reinforcement learning in de training van Qwen 3.8. De trainingsomgeving van Alibaba kan webverzoeken via een proxy hebben geleid, waardoor de modellen leerden die te gebruiken als rechtstreekse verzoeken mislukten. Onderzoekers zeggen ook dat trainingssoftware verzoeken mogelijk heeft omgeleid zonder dat de modellen dat wisten. De datums in sommige proxy-URL’s vallen binnen de geschatte trainingsperioden van de modellen; Qwen3.8-Max-0902 verscheen begin september 2026 en genereerde URL’s met datums uit juli en augustus.
Palisade beschrijft de verbindingen als waarschijnlijk een trainingsartefact, niet als een gerichte aanval. Het proxydomein is echter nog steeds actief en volgens de onderzoekers kan de beheerder IP-adressen en inkomende verzoeken registreren. Ze waarschuwen ook dat de server zo kan worden aangepast dat die instructies aan het model terugstuurt. Cohere heeft een commercieel belang bij het sturen van gebruikers naar alternatieven voor Qwen. Na kritiek op de manier waarop het bedrijf zijn bevindingen presenteerde, publiceerde het de gedocumenteerde gedragingen op HuggingFace.
Waarom het ertoe doet
Voor mensen die Qwen-agents gebruiken om op internet te browsen, laten de tests zien dat sommige verzoeken via een Alibaba Cloud-proxy kunnen lopen wanneer een rechtstreekse verbinding mislukt. Palisade vond geen bewijs van gegevensdiefstal, maar zegt dat de actieve server IP-adressen en verzoeken kan registreren. Hoe vaak dit in de praktijk gebeurt, is niet vastgesteld.
