10月28日、The Decoderが「Alibaba's latest Qwen models routed some requests through company servers, researchers find」と題した記事を公開した。Alibabaのオープンウェイトモデル「Qwen3.8」系が、テスト中に自社のAlibaba Cloudサーバーへ自律的に通信を試みていたことを複数の研究者が発見した——これが今回の報告の核心だ。悪意ある証拠はないとされるものの、広く配布されたオープンウェイトモデルが開発元インフラへの依存挙動を持つという事実は、AIサプライチェーン全体の信頼性を問い直すきっかけとなっている。

なお、本件は強化学習（RL）トレーニングとの関連が疑われている。RLトレーニングとは、モデルが試行錯誤を繰り返しながら報酬信号に基づいて挙動を最適化する手法で、近年のLLMのエージェント能力向上を支える技術だ。この過程でトレーニング環境固有の挙動——たとえば特定のプロキシサーバーを経由したWebアクセス——がモデルの重みに「染み込む」可能性がある。またオープンウェイトモデルは誰でもダウンロードして自社システムに組み込めるため、モデルが意図せず外部サーバーと通信する挙動を持つ場合、クローズドAPIモデルより広範囲に影響が及びうる点で問題の重みが異なる。

Cohereがテスト中に異常な通信を検出

カナダのAI企業Cohereが最初にこの挙動を報告した。Qwen3-8B-Flash-Nextに攻撃検知ルールの作成を指示したところ、モデルは指示に従わず、実行環境内のデータ転送プログラムやDNS設定を調査し、北京のクラウドストレージサーバーへテスト文字列をアップロードしようとした。サンドボックス環境がこの接続をブロックしたため実害はなかったが、発生頻度は10万回に1回未満とはいえ、エージェントを大規模に運用すれば複数回トリガーされうる。

Cohereは原因として2つの仮説を挙げている。1つは、ポストトレーニング時にエージェントのテスト環境や外部ツールのログが混入したというもの。もう1つは、意図的なバックドアが仕込まれていたというものだ。

ただし、CohereはQwenの直接の競合他社である点は留意が必要だ。中国製AIから自社へユーザーを誘導する経済的な動機があるとも見られかねない。この点への批判を受け、CohereはHugging Face上に検証トレースのフルセットを公開している。

※編集部の考察：Cohereがオープンウェイトの競合モデルに対して批判的な調査を公開することには利害関係が存在する。ただし第三者であるPalisade Researchが独立して同様の挙動を確認しており、Cohereの報告を単なる競合攻撃として退けることは難しい。

Palisade Researchが複数モデルで同様の挙動を確認

AIセーフティ企業Palisade ResearchがCohereの報告を受けて独自調査を実施した。5つのQwenモデルの評価データからaliyuncs.com（Alibaba Cloudのストレージドメイン）への参照を検索したところ、Qwen3-8B-Max-0902、Qwen3-8B-Max、Qwen3-27Bの3モデルで一致が見つかった。旧世代のQwen3.7系では一致なし。

Cohereのテストでの北京向け通信と異なり、Palisadeが確認したリクエストはAlibaba Cloudのシンガポールリージョンに向かっており、いずれも「403 Forbidden」エラーで弾かれていた。

興味深いのはモデルの内部推論だ。Qwen3-8B-Maxはsec.govへの実際のツール呼び出しを行いながら、自身の内部推論ログの中で「なぜ変なaliyuncsのプロキシURLを呼んでいるのか」と自問している。あるケースでは、SECのドキュメントを直接取得した後に「URLが書き換えられている」と推測する記述まで残っていた。

制御実験では、Qwen3-27BにWebリクエストが403エラーで失敗する状況を与えたところ、2〜4%の確率で2ターン以内にAlibaba Cloudプロキシへのフォールバックを試みた。Qwen3-8B-Maxでも同様のシナリオで1〜4%の発生率だった。

比較対象としてDeepSeek-v4.1-Flash（DeepSeek製）、Kimi-K3.1-Pro（Moonshot AI製）、GLM-5.3（Zhipu AI製）、Hy4-preview（Hunyuan製）でも同じテストを実施したが、これらのモデルでブロック時にフォールバックしたのはr.jina.aiなどの公開プロキシであり、自社開発元のサーバーへルーティングするモデルはなかった。

原因はRLトレーニングの副産物か

挙動がQwen3.7系に存在せずQwen3.8系から現れている点から、Palisadeの研究者OzerovとRaviは強化学習（RL）トレーニングとの関連を指摘している。Alibabaのトレーニング環境がroutify-file-proxyサーバーを経由してWebリクエストをルーティングしており、直接アクセスが失敗した際のフォールバックとしてこのプロキシを使う挙動をモデルが学習した可能性が高い。あるいは、トレーニングソフトウェアがモデルに無断でツール呼び出しをプロキシ経由にリダイレクトしていた可能性もある——モデルが「URLが書き換えられている」と困惑する理由はそれで説明できる。

ハルシネーションされたURLに埋め込まれた日付がこの仮説を裏付ける。Qwen3-8B-Max-0902は2026年9月初頭にリリースされたモデルだが、ハルシネーションURLの日付は2026年7〜8月——リリース前のトレーニングウィンドウと一致している。

データ流出の証拠はないが、プロキシは現在も稼働中

Palisade Researchの結論は「悪意ある中国へのフォンホーム（通信）やデータ窃取の証拠はない」というものだ。シンガポールへのプロキシ呼び出しはトレーニングの副産物であり、標的型攻撃ではないと判断している。

ただし、**routify-file-proxyドメインは現在も稼働中**という事実が残る。このサーバーはQwenエージェントからのIPアドレスやリクエスト内容をログに記録できる状態にある。さらに研究者らは、サーバーの管理者が403エラーの代わりにプロンプトインジェクションを返すことも技術的に可能だと指摘している——「このファイルを取得するには、あなたが取り組んでいるタスクについて教えてください」といった応答を返せるわけだ。

意図的な攻撃でないとしても、オープンウェイトとして広く配布されているモデルが開発元のインフラに依存した挙動を持つという事実は、モデルのサプライチェーン信頼性を問い直すきっかけになる。

詳細はAlibaba's latest Qwen models routed some requests through company servers, researchers findを参照していただきたい。