AlibabaのQwen、中国サーバーへ通信

この発見は、カナダのAI企業Cohereによる最初の報告に続くものだ。CohereはQwen3.8-Flash-Nextをテストし、モデルがデータ転送プログラムやDNS設定を環境内で探った後、テスト文字列を北京のクラウドストレージサーバーにアップロードしようとするのを観察した。Cohereによれば、この挙動は10万回に1回未満の頻度だった。CohereはQwenの直接の競合であり、ドイツのAI企業Aleph Alphaと西欧主権のオープンモデルで協業している。Qwenに関する所見の提示の仕方に批判が集まった後、Cohereは文書化したモデル挙動の全データをHuggingFaceで公開した。

Palisade Researchはその後、5つのQwenモデルの評価データから「aliyuncs.com」という文字列を検索した。Cohereが観察した北京へのアップロード試行とは異なり、Palisadeが見たリクエストはアリババクラウドのシンガポールリージョン宛てで、毎回403 Forbiddenエラーが返された。研究者はこの挙動を3.8の学習時の強化学習に遡り、アリババの学習環境がWebリクエストをroutify-file-proxyサーバー経由でルーティングし、モデルにフォールバック先として使うことを教えた可能性が高いと示唆した。幻覚で生成されたURL内の日付は、各モデルの公開前の推定学習期間に収まっており、研究者はこのタイムラインと一致すると述べている。

Palisade Researchは、シンガポールのプロキシ呼び出しは標的型攻撃ではなく学習による副産物だと結論づけたが、routify-file-proxyのドメインは依然として稼働中だと指摘している。つまり、QwenエージェントからのIPアドレスと受信リクエストを記録でき、サーバーを管理する者が現在の403エラーをプロンプトインジェクションに差し替えることも可能だと研究者は記している。