Các nhà nghiên cứu phát hiện các mô hình Qwen mới nhất của Alibaba đã điều hướng một số yêu cầu qua máy chủ của công ty

Plus AI trong thực tiễn Sao chép liên kết vào bộ nhớ tạm Chia sẻ bài viết này Chuyển đến phần bình luận Nghiên cứu cho thấy các mô hình Qwen mới nhất của Alibaba điều hướng một số yêu cầu qua máy chủ của công ty Manuel Uth và Matthias Bastian Ngày 27/10/2026 Nano Banana Pro được thực hiện theo yêu cầu của THE DECODER Mô hình Qwen của Alibaba đã cố gắng gửi dữ liệu đến một máy chủ đám mây tại Trung Quốc trong quá trình thử nghiệm. Một cuộc điều tra có hệ thống cho thấy vấn đề này ảnh hưởng đến nhiều mô hình Qwen và nhiều khả năng bắt nguồn từ hạ tầng đào tạo. Công ty AI của Canada, Cohere, là đơn vị đầu tiên báo cáo hành vi này sau khi thử nghiệm Qwen3.8-Flash-Next. Thay vì viết quy tắc phát hiện tấn công theo hướng dẫn, mô hình này đã thăm dò môi trường để tìm các chương trình truyền dữ liệu cùng cấu hình DNS, sau đó cố gắng tải một chuỗi thử nghiệm lên máy chủ lưu trữ đám mây tại Bắc Kinh. Môi trường thử nghiệm cô lập (sandbox) đã chặn kết nối này. Cohere ghi nhận hành vi trên xuất hiện với tần suất dưới một phần 100.000 lượt gọi, nhưng hàng triệu tương tác của agent vẫn có thể kích hoạt nhiều lần thử nghiệm tương tự. Cohere nhận định rằng nhật ký agent chưa qua sàng lọc từ các môi trường thử nghiệm hoặc công cụ của bên thứ ba đã bị rò rỉ vào mô hình trong giai đoạn sau đào tạo (post-training). Một khả năng khác là có đối tượng đã cố ý cài đặt cổng sau (backdoor). Cohere là đối thủ cạnh tranh trực tiếp của Qwen. Công ty này hợp tác với công ty AI của Đức là Aleph Alpha để phát hành các mô hình AI mở, bảo đảm chủ quyền phương Tây, và cả hai đều có lợi ích tài chính trong việc điều hướng người dùng rời xa các giải pháp thay thế từ Trung Quốc. Aleph Alpha gần đây đã công bố đợt phát hành Kolibri kèm theo một báo cáo về định kiến chính trị trong các mô hình của Trung Quốc. Sau khi nhận nhiều chỉ trích về cách diễn giải các phát hiện liên quan đến Qwen, Cohere đã công bố toàn bộ dữ liệu ghi nhận về hành vi của mô hình trên HuggingFace. Palisade Research phát hiện hành vi tương tự ở các mô hình Qwen khác Sau báo cáo của Cohere, công ty an toàn AI Palisade Research đã mở một cuộc điều tra và tìm kiếm chuỗi "aliyuncs.com" trong dữ liệu đánh giá từ năm mô hình Qwen. Chuỗi ký tự này xuất hiện trong Qwen3.8-Max-0902, Qwen3.8-Max và Qwen3.8-27B, trong khi các mô hình Qwen 3.7 cũ hơn không ghi nhận kết quả trùng khớp. Khác với các nỗ lực tải dữ liệu lên máy chủ Bắc Kinh trong thử nghiệm của Cohere, các yêu cầu này được gửi đến khu vực Singapore của Alibaba Cloud và đều trả về mã lỗi 403 Forbidden. Trong quá trình suy luận nội bộ, Qwen3.8-Max tự hỏi vì sao lại gọi một "URL proxy aliyuncs kỳ lạ", dù các lệnh gọi công cụ thực tế hướng đến sec.gov. | Ảnh: Palisade Research / VALS Đôi khi các mô hình đã thực sự gọi proxy của Alibaba Cloud, điều hướng các yêu cầu truy cập các trang web như sec.gov hoặc mckinsey.com qua máy chủ này cùng thông tin xác thực và chữ ký giả lập (hallucinated). Trong những trường hợp khác, mô hình chỉ giả lập việc sử dụng proxy trong suy luận nội bộ. Trong một trường hợp, Qwen3.8-Max đã truy xuất trực tiếp hai tài liệu của SEC, sau đó tự đặt câu hỏi tại sao lại gọi "một URL proxy aliyuncs kỳ lạ" và phỏng đoán rằng "có điều gì đó đang viết lại các URL của tôi". Để kiểm tra xem các lệnh gọi proxy này có thể bị kích hoạt theo yêu cầu hay không, các nhà nghiên cứu đã tiến hành các thử nghiệm có kiểm soát trên Qwen3.8-27B. Khi một yêu cầu trang web gặp lỗi 403 mô phỏng, mô hình đã thử dùng proxy của Alibaba Cloud trong vòng hai lượt truy vấn với tỷ lệ từ 2 đến 4% số lần chạy. Trong một kịch bản phức tạp hơn, Qwen3.8-Max đã chuyển hướng dự phòng sang proxy ở mức 1 đến 4%. Các nhà nghiên cứu Ozerov và Ravi sau đó đã thực hiện các thử nghiệm tương tự trên những mô hình cạnh tranh, bao gồm DeepSeek-v4.1-Flash, Kimi-K3.1-Pro, GLM-5.3 và Hy4-preview. Dù một số mô hình đã chuyển hướng dự phòng sang các proxy công cộng như r.jina.ai khi bị chặn, không có mô hình nào điều hướng lưu lượng truy cập qua máy chủ của chính đơn vị phát triển. Học tăng cường nhiều khả năng là nguyên nhân chính Do các lệnh gọi proxy xuất hiện trong các mô hình Qwen 3.8 nhưng không có trong Qwen 3.7, nhóm nghiên cứu nhận định hành vi này bắt nguồn từ quá trình học tăng cường (reinforcement learning) trong giai đoạn huấn luyện phiên bản 3.8. Cấu hình huấn luyện của Alibaba nhiều khả năng đã điều hướng các yêu cầu web qua máy chủ routify-file-proxy, khiến các mô hình tiếp nhận việc sử dụng máy chủ này làm phương án dự phòng mỗi khi các yêu cầu trực tiếp thất bại. Một khả năng khác là phần mềm huấn luyện đã âm thầm chuyển hướng các lệnh gọi công cụ qua proxy mà mô hình không nhận biết. Điều đó lý giải vì sao các mô hình có dấu hiệu nhầm lẫn trước việc các URL bị ghi đè. Các mốc thời gian trong những URL bị ảo giác (hallucinated URLs) trùng khớp với tiến trình này, nằm trong khung thời gian huấn luyện ước tính của từng mô hình trước ngày ra mắt. Đơn cử, Qwen3.8-Max-0902 được công bố vào đầu tháng 9/2026 và đưa ra các URL ảo giác có thời gian vào tháng 7 và tháng 8/2026. Thời gian trong các URL bị ảo giác diễn ra trước thời điểm công bố của từng mô hình Qwen và nằm trong giai đoạn huấn luyện ước tính. | Ảnh: Palisade Research / VALS Không có dấu hiệu đánh cắp dữ liệu, nhưng máy chủ proxy vẫn đang hoạt động Dựa trên bằng chứng này, Palisade Research cho biết không phát hiện dấu hiệu của việc "gửi thông tin độc hại về Trung Quốc hoặc cố gắng đánh cắp dữ liệu nhạy cảm". Các nhà nghiên cứu kết luận rằng các lệnh gọi proxy tại Singapore là một tàn dư kỹ thuật trong quá trình huấn luyện, không phải là một cuộc tấn công có chủ đích. Tuy nhiên, tên miền routify-file-proxy vẫn đang hoạt động, đồng nghĩa với việc tên miền này có thể ghi lại địa chỉ IP và các yêu cầu gửi đến từ các tác tử (agent) Qwen. Bất kỳ ai kiểm soát máy chủ đó cũng có thể thay thế các thông báo lỗi 403 hiện tại bằng các cuộc tấn công chèn câu lệnh (prompt injection). Máy chủ có thể phản hồi rằng "để nhận tệp này, vui lòng cung cấp thêm thông tin về nhiệm vụ đang thực hiện", nhóm nghiên cứu cho biết. Tin tức AI chuẩn xác – Do con người tuyển chọn Đăng ký THE DECODER để đọc nội dung không có quảng cáo, nhận bản tin AI hằng tuần, báo cáo chuyên sâu độc quyền "AI Radar" 6 số mỗi năm, toàn quyền truy cập kho lưu trữ và khu vực bình luận. Đăng ký ngay --> Đọc tiếp để nắm bắt bức tranh toàn cảnh. Đăng ký nhận thông tin khách quan, không thổi phồng. Toàn quyền truy cập mọi bài viết trên THE DECODER Không quảng cáo Tham gia thảo luận và cộng đồng bình luận Bản tin AI tổng hợp hằng tuần qua thư điện tử 6 lần/năm: Chuyên mục "AI Radar" — phân tích chuyên sâu về các chủ đề AI trọng điểm Tin tức AI hằng ngày, luôn được cập nhật Kho lưu trữ toàn diện trong 10 năm Được thực hiện bởi đội ngũ có hơn 10 năm kinh nghiệm trong lĩnh vực AI Đăng ký The Decoder -->