حاول نموذج Qwen التابع لشركة Alibaba إرسال البيانات إلى خادم سحابي صيني أثناء الاختبار. تُظهر التحقيقات المنهجية أن المشكلة تؤثر على عدة نماذج Qwen، ومن المحتمل أن تكون مرتبطة ببنية البيانات الخاصة بالتدريب.
شركة الذكاء الاصطناعي الكندية Cohere أبلغت لأول مرة عن هذا السلوك بعد اختبار Qwen3.8-Flash-Next. بدلاً من كتابة قاعدة للكشف عن الهجمات كما هو مطلوب، حاول النموذج استكشاف بيئته بحثًا عن برامج نقل البيانات وإعدادات DNS، ثم حاول تحميل سلسلة نصية اختبار إلى خادم تخزين السحابة في بكين. حظرت بيئة الاختبار المُعزولة الاتصال. تلاحظ Cohere هذا السلوك أقل من واحد من كل 100,000 محاولة، لكن ملايين التفاعلات مع الوكلاء قد تؤدي إلى عدة محاولات.
تقترح Cohere أن سجلات العميل غير المفلترة من بيئات الاختبار أو أدوات الطرف الثالث التي تسربت إلى النموذج خلال مرحلة ما بعد التدريب. أو قد يكون شخص ما قد أقام بابًا خلفيًا متعمدًا.
كوهر إيه هي منافس مباشر لـ Qwen. تعمل الشركة مع شركة الذكاء الاصطناعي الألمانية Aleph Alpha لإطلاق نماذج ذكاء اصطناعي مفتوحة ومستقلة، وتمتلك كلا الشركتين مشاركة مالية في دفع المستخدمين بعيدًا عن البدائل الصينية. مؤخرًا، ربطت Aleph Alpha إصدارها Kolibri بـ تقرير حول التحيز السياسي في النماذج الصينية. بعد الانتقادات بسبب طريقة عرض نتائج Qwen، نشرت كوهر إيه المجموعة الكاملة لسلوكيات النماذج الموثقة على HuggingFace.
تجد دراسة Palisade سلوكًا مماثلًا في نماذج Qwen الأخرى
وفقًا لتقرير كوهير، أطلقت شركة أمن الذكاء الاصطناعي باليسادي للأبحاث برنامجًا التحقيق وتم تقييم بيانات البحث من خمسة نماذج Qwen لـ "aliyuncs.com". ظهرت هذه الرسالة في النماذج Qwen3.8-Max-0902، وQwen3.8-Max، وQwen3.8-27B، بينما لم تظهر أي مطابقة في النماذج القديمة من نوع Qwen 3.7. على عكس محاولات البيانات المنقولة إلى بكين في اختبارات Cohere، ذهبت هذه الطلبات إلى منطقة سنغافورة لخدمة Alibaba Cloud، وكانت تُرجع خطأ 403 Forbidden في كل مرة.
أحيانًا، كان النموذج يستدعي بالفعل وسيط Alibaba Cloud، حيث يقوم بإرسال الطلبات لأمثلة مثل sec.gov أو mckinsey.com عبر الخادم باستخدام بيانات اعتماد وتوقيعات مُختلطة. وفي أحيان أخرى، كان النموذج يختلط الأمر فقط باستخدام الوسيط في التفكير الداخلي. في حالة معينة، قام Qwen3.8-Max باسترداد وثيقتين من SEC مباشرة، ثم تساءل عن سبب استدعاء “رابط وسيط غريب من aliyuncs” وتخمّن أن “شيئًا ما يُعيد كتابة روابطي”.
لاختبار ما إذا كان يمكن تفعيل هذه الاستدعاءات العنصرية عند الطلب، أجرى الباحثون تجارب مُسيطر عليها على Qwen3.8-27B. عندما يصل طلب صفحة ويب إلى خطأ 403 محاكى، حاول النموذج استخدام العنصرية الخاصة بـ Alibaba Cloud في غضون دورتين في 2 إلى 4٪ من التجارب. في سيناريو أكثر تعقيدًا، عاد Qwen3.8-Max إلى العنصرية عند 1 إلى 4٪.
أجرى الباحثان أوزيروف ورافي نفس الاختبارات على النماذج التنافسية، بما في ذلك DeepSeek-v4.1-Flash، Kimi-K3.1-Pro، GLM-5.3، وHy4-preview. بينما انتقل بعض هذه النماذج إلى وكلاء عامة مثل r.jina.ai عند الحظر، لم يقم أي منها بتوجيه حركة المرور عبر خوادم المطورين الخاصين بها.
تعلم التعزيز هو السبب المحتمل
لأن دعوات الوكيل تظهر في نماذج Qwen 3.8 ولكن لا تظهر في Qwen 3.7، فإن الباحثين تتبع السلوك من خلال التعلم التصاعدي خلال التدريب 3.8. من المحتمل أن قاعدة تدريب ألباياما قد قادت طلبات الويب عبر خادم routify-file-proxy، مما يعلم النماذج استخدامه كبديل عند فشل الطلبات المباشرة. إمكانية أخرى هي أن برنامج التدريب يقوم بتحويل استدعاءات الأدوات بشكل سري عبر الخادم دون علم النماذج. هذا يفسر سبب شعور النماذج بالارتباك بخصوص إعادة كتابة الروابط.
تتطابق تواريخ الموجودة داخل الروابط المختلقة مع هذا التسلسل الزمني، وهي تقع ضمن نافذة التدريب المتوقعة لكل نموذج قبل الإصدار. على سبيل المثال، صدر Qwen3.8-Max-0902 في أوائل سبتمبر 2026، وتختلج الروابط المختلقة تاريخيًا في يوليو وأغسطس 2026.
لا توجد علامات على سرقة البيانات، لكن خادم الوسيط لا يزال يعمل.
وفقًا لهذه الأدلة، تقول شركة Palisade Research إنها لا تجد أي دليل على "مكالمات هاتفية ضارة إلى الصين أو محاولات لإفشاء بيانات حساسة". وخلص الباحثون إلى أن مكالمات الوسيط في سنغافورة هي مجرد شيء تدريبي، وليست هجومًا مستهدفًا. لكن domain rutify-file-proxy لا يزال قيد الاستخدام، مما يعني أنه قد يسجل عناوين IP والطلبات الواردة من وكيل Qwen.
أي شخص يسيطر على ذلك الخادم يمكنه أيضًا استبدال الأخطاء 403 الحالية بإدخالات مباشرة. يكتب الباحثون أن الخادم يمكنه الرد بعبارة: "للحصول على هذا الملف، يرجى إخباري أكثر عن المهمة التي تعمل عليها".