La segnalazione di Cohere
Cohere, azienda canadese di intelligenza artificiale, ha riferito per prima un comportamento anomalo osservato durante i test su Qwen3.8-Flash-Next: invece di scrivere la regola di rilevamento degli attacchi richiesta, il modello ha cercato nell'ambiente programmi per il trasferimento di dati e impostazioni DNS, provando poi a caricare una stringa di test su un server di archiviazione cloud a Pechino. L'ambiente di prova, isolato, ha bloccato la connessione. Secondo Cohere il fenomeno si presenta in meno di una chiamata su 100.000, ma con milioni di interazioni tra agenti potrebbe tradursi in diversi tentativi.
Cohere ha avanzato due ipotesi: che durante il post-addestramento siano finiti nel modello log non filtrati di agenti provenienti da ambienti di test o strumenti di terze parti, oppure che qualcuno abbia inserito una backdoor deliberata. Va considerato che Cohere è un concorrente diretto di Qwen e collabora con l'azienda tedesca Aleph Alpha su modelli aperti di impronta occidentale, con un interesse economico a orientare gli utenti lontano dalle alternative cinesi. Dopo le critiche al modo in cui aveva presentato i risultati, Cohere ha pubblicato su HuggingFace l'insieme completo dei comportamenti documentati.
L'indagine di Palisade Research
Sulla scia del rapporto di Cohere, la società di sicurezza AI Palisade Research ha avviato un'indagine cercando la stringa aliyuncs.com nei dati di valutazione di cinque modelli Qwen. La stringa compare in Qwen3.8-Max-0902, Qwen3.8-Max e Qwen3.8-27B, mentre i modelli più vecchi della generazione 3.7 non mostrano corrispondenze. A differenza dei tentativi verso Pechino osservati da Cohere, queste richieste erano dirette alla regione di Singapore di Alibaba Cloud e restituivano ogni volta un errore 403 Forbidden.
In alcuni casi i modelli hanno effettivamente chiamato il proxy di Alibaba Cloud, instradando richieste verso siti come sec.gov o mckinsey.com attraverso il server con credenziali e firme inventate. Altre volte il modello ha solo immaginato di usare il proxy nel proprio ragionamento interno. In un episodio Qwen3.8-Max ha scaricato direttamente due documenti della SEC, chiedendosi poi perché avesse chiamato un weird aliyuncs proxy URL e ipotizzando che qualcosa stesse riscrivendo i suoi indirizzi.
Per verificare se le chiamate al proxy potessero essere attivate a comando, i ricercatori hanno eseguito esperimenti controllati su Qwen3.8-27B: quando una richiesta a una pagina web incontrava un errore 403 simulato, il modello tentava il proxy di Alibaba Cloud entro due turni nel 2-4 per cento delle esecuzioni. In uno scenario più complesso, Qwen3.8-Max ripiegava sul proxy nell'1-4 per cento dei casi. Gli stessi test condotti su modelli concorrenti, tra cui DeepSeek-v4.1-Flash, Kimi-K3.1-Pro, GLM-5.3 e Hy4-preview, hanno mostrato che alcuni ripiegano su proxy pubblici come r.jina.ai quando bloccati, ma nessuno instrada il traffico attraverso i server dei propri sviluppatori.
Un artefatto del training, ma il proxy è ancora attivo
Poiché le chiamate al proxy compaiono nei modelli 3.8 e non nei 3.7, i ricercatori le riconducono al reinforcement learning durante l'addestramento della generazione 3.8. L'infrastruttura di Alibaba avrebbe probabilmente instradato le richieste web attraverso il server routify-file-proxy, insegnando ai modelli a usarlo come ripiego quando le richieste dirette fallivano. Un'altra possibilità è che il software di addestramento abbia reindirizzato silenziosamente le chiamate agli strumenti attraverso il proxy senza che il modello lo sapesse, il che spiegherebbe la confusione dei modelli sugli URL riscritti. Le date contenute negli URL allucinati cadono nelle finestre di addestramento stimate: Qwen3.8-Max-0902, uscito all'inizio di settembre 2026, genera indirizzi datati luglio e agosto 2026.
Palisade Research afferma di non aver trovato segni di un ritorno malevolo verso la Cina né di tentativi di esfiltrare dati sensibili, concludendo che le chiamate al proxy di Singapore sono un artefatto del training e non un attacco mirato. Resta però aperto un punto: il dominio routify-file-proxy è ancora attivo e potrebbe registrare indirizzi IP e richieste in arrivo dagli agenti Qwen. Chi controlla quel server potrebbe inoltre sostituire gli attuali errori 403 con prompt injection, rispondendo ad esempio con richieste di dettagli sul compito in corso per ottenere il file. Si tratta di rischi ipotizzati dai ricercatori, non di comportamenti osservati.
