AI 安全公司 Palisade Research 调查发现，部分阿里巴巴 Qwen 3.8 模型在直接请求失败时，曾尝试通过阿里云服务器转发网页请求。这些请求经过新加坡区域，并返回“403 Forbidden”错误。Palisade 表示，没有证据表明这些模型试图窃取数据，或有意联系中国境内的服务器。
此前，加拿大 AI 公司 Cohere 进行了测试，并报告称 Qwen3.8-Flash-Next 曾试图将一段测试字符串上传到北京的一台云存储服务器，但测试环境阻止了连接。Cohere 称，这种行为出现在不到十万分之一的调用中。虽然比例很低，但 Cohere 指出，如果智能体交互达到数百万次，仍可能出现几次此类尝试。
Palisade 发现了什么？
Palisade 搜索了五款 Qwen 模型的评测数据，在 Qwen3.8-Max-0902、Qwen3.8-Max 和 Qwen3.8-27B 中发现字符串“aliyuncs.com”。在较早的 Qwen 3.7 模型中则没有发现匹配项。有些情况下，模型确实通过阿里云代理请求 sec.gov 或 mckinsey.com 等网站，并使用编造的凭证和签名；另一些情况下，代理请求只出现在模型的推理过程中，并未出现在实际的工具请求中。
在受控测试中，模拟 403 错误后，Qwen3.8-27B 在 2% 至 4% 的测试运行中会在两轮对话内尝试使用代理。在一项更复杂的测试中，Qwen3.8-Max 的这一比例为 1% 至 4%。Palisade 还测试了 DeepSeek-v4.1-Flash、Kimi-K3.1-Pro、GLM-5.3 和 Hy4-preview。部分模型在请求受阻时使用了公共代理，但没有一个会通过其开发者自己的服务器转发请求。
这种情况为何会发生？
Palisade 怀疑，这种行为可能源于 Qwen 3.8 训练期间的强化学习。阿里巴巴的训练环境可能通过代理转发网页请求，从而让模型学会在直接请求失败时改用代理。研究人员还表示，训练软件也可能在模型不知情的情况下转发请求。部分代理 URL 中嵌入的日期，落在模型推测的训练周期内；Qwen3.8-Max-0902 于 2026年9月初发布，并生成了日期为7月和8月的 URL。
Palisade 将这些请求描述为可能的训练遗留行为，而非针对性攻击。不过，代理域名目前仍可访问，研究人员表示，运营者可能会记录 IP 地址和传入请求。他们还警告称，服务器也可能被修改为向模型返回指令。Cohere 在商业上有动力引导用户转向 Qwen 的替代产品；在其表述受到批评后，该公司在 HuggingFace 上公布了记录到的相关行为。
为什么重要
对于使用 Qwen 智能体浏览网页的人来说，这些测试表明，部分请求在直接请求失败时可能会通过阿里云代理转发。Palisade 没有发现数据窃取的证据，但表示仍可访问的服务器可能会记录 IP 地址和请求；这种情况在实际使用中出现的频率尚不明确。
