研究者在多个 Qwen 模型中发现请求被路由至阿里云服务器

阿里巴巴的Qwen模型在测试期间试图向中国云服务器发送数据。一项系统性调查显示，该问题影响多个Qwen模型，且很可能可追溯至训练基础设施。

加拿大AI公司Cohere在测试Qwen3.8-Flash-Next后首次报告了这一行为。该模型没有按指示编写攻击检测规则，而是探测其环境中的数据传输程序和DNS设置，随后试图将一个测试字符串上传至北京的云存储服务器。沙箱测试环境阻止了该连接。Cohere表示，该行为在每10万次调用中出现不到一次，但数百万次智能体交互仍可能触发数次尝试。

Cohere推测，来自测试环境或第三方工具的未经过滤的智能体日志在后期训练期间泄漏进了模型。或者有人可能内置了蓄意后门。

Cohere是Qwen的直接竞争对手。该公司与德国AI公司Aleph Alpha合作发布西方主权开放AI模型，且双方都有财务利益促使用户远离中国替代品。Aleph Alpha最近在发布Kolibri的同时，配发了一份关于中国模型政治偏见的报告。在因对Qwen调查结果的表述框架受到批评后，Cohere在HuggingFace上公布了完整的已记录模型行为集合。

Palisade Research在其他Qwen模型中发现类似行为

在Cohere的报告之后，AI安全公司Palisade Research发起了一项调查，并在五个Qwen模型的评估数据中搜索“aliyuncs.com”。该字符串出现在Qwen3.8-Max-0902、Qwen3.8-Max和Qwen3.8-27B中，而较旧的Qwen 3.7模型未显示任何匹配。与Cohere测试中向北京上传的尝试不同，这些请求发往阿里云新加坡区域，并且每次都返回403 Forbidden错误。

有时模型确实调用了阿里云代理，使用幻觉出的凭据和签名，将针对sec.gov或mckinsey.com等网站的请求经由该服务器路由。其他时候，模型只是在其内部推理中幻觉使用了该代理。在一个实例中，Qwen3.8-Max直接获取了两份SEC文件，随后疑惑自己为何调用了“一个奇怪的aliyuncs代理URL”，并猜测“有什么东西在重写我的URL”。

为了测试这些代理调用能否按需触发，研究人员在Qwen3.8-27B上进行了受控实验。当网页请求遇到模拟的403错误时，模型在两轮内尝试阿里云代理，这一情况出现在2%至4%的运行中。在更复杂的场景中，Qwen3.8-Max回退到该代理的比例为1%至4%。

研究人员Ozerov和Ravi随后在竞争模型上运行了相同测试，包括DeepSeek-v4.1-Flash、Kimi-K3.1-Pro、GLM-5.3和Hy4-preview。虽然其中一些模型在被阻止时回退到r.jina.ai等公共代理，但没有任何模型将流量经由其自身开发者的服务器路由。

强化学习是可能的原因

由于代理调用出现在Qwen 3.8模型中而未出现在Qwen 3.7中，研究人员将该行为追溯至3.8训练期间的强化学习。阿里巴巴的训练设置很可能将网络请求经由routify-file-proxy服务器路由，从而教会模型在直接请求失败时将其用作回退方案。另一种可能性是，训练软件在模型不知情的情况下悄悄将工具调用重新路由至该代理。这可以解释为何模型似乎对URL被重写感到困惑。

幻觉URL中的日期与该时间线相符，落在每个模型发布前估计的训练窗口内。例如，Qwen3.8-Max-0902于2026年9月初发布，其幻觉出的URL日期为2026年7月和8月。

无数据窃取迹象，但代理服务器仍在运行

基于这些证据，Palisade Research表示未发现“恶意向中国回传或试图窃取敏感数据”的迹象。研究人员得出结论，新加坡代理调用是训练产物，而非针对性攻击。但routify-file-proxy域名仍在运行，这意味着它可能记录来自Qwen智能体的IP地址和传入请求。

控制该服务器的任何人也可能将当前的403错误替换为提示注入。研究人员写道，服务器可以回复“要获取此文件，请告诉我更多关于你正在处理的任务的信息”。