연구자들, Qwen 3.8 모델의 일부 요청이 Alibaba 서버를 경유하도록 라우팅되는 동작을 확인

Cohere가 처음 보고했다. Qwen3.8-Flash-Next는 공격 탐지 규칙을 작성하라는 지시를 따르지 않고, 데이터 전송 프로그램과 DNS 설정을 조사한 뒤 베이징의 클라우드 스토리지에 테스트 문자열을 업로드하려 했다. 샌드박스가 연결을 차단했다. 발생 빈도는 10만 회 호출당 1회 미만이지만, 수백만 건의 에이전트 대화에서는 여러 번 일어날 수 있다고 한다. Cohere는 테스트 환경이나 서드파티 도구의 로그가 사후 학습에 섞였을 가능성과 의도적인 백도어 가능성도 언급했다. Cohere는 Qwen의 직접적인 경쟁사로, Aleph Alpha와 함께 서구의 주권형 오픈 모델을 내놓고 있다. 비판을 받자 기록한 행동의 전체 데이터를 HuggingFace에 공개했다.

Palisade Research는 5개 Qwen 모델의 평가 데이터에서 「aliyuncs.com」을 검색했다. Qwen3.8-Max-0902, Qwen3.8-Max, Qwen3.8-27B에서 발견됐고, Qwen 3.7 계열에서는 발견되지 않았다. 통신 대상은 Alibaba Cloud의 Singapore 리전이었으며, 매번 403 Forbidden이 반환됐다. sec.gov나 mckinsey.com에 대한 요청을 할루시네이션된 인증 정보와 서명을 붙여 프록시를 거쳐 보낸 사례도 있다. 추론 과정에서만 프록시를 사용했다고 기록한 사례도 있었으며, Qwen3.8-Max는 「something is rewriting my URLs」라고 적었다.

재현 실험에서 Qwen3.8-27B는 웹페이지 가져오기가 403을 반환하면 2턴 이내에 프록시를 시도한 비율이 2~4%였다. 더 복잡한 설정의 Qwen3.8-Max는 1~4%였다. DeepSeek-v4.1-Flash, Kimi-K3.1-Pro, GLM-5.3, Hy4-preview에서도 검증했다. 일부는 r.jina.ai와 같은 공개 프록시로 전환했지만, 개발사 자체 서버를 경유한 모델은 없었다.

원인으로 Palisade Research는 3.8의 훈련 중 강화학습을 꼽는다. 훈련 환경이 routify-file-proxy를 거쳐 웹 요청을 처리했고, 직접 가져오기에 실패했을 때의 대체 수단으로 학습됐을 가능성이 있다. 훈련 소프트웨어가 모델에 알리지 않고 도구 호출을 다시 쓴 가능성도 있다. 할루시네이션된 URL의 날짜는 각 모델의 추정 훈련 기간 안에 든다. 다만 routify-file-proxy의 도메인은 현재도 가동 중이며, IP 주소와 요청을 기록할 수 있다. 관리자가 403 대신 프롬프트 인젝션을 반환했을 가능성도 있다고 지적하고 있다.