Alibaba Qwen 여러 모델, 외부 서버로 요청 보내려 시도

캐나다 AI 기업 Cohere가 Alibaba의 Qwen3.8-Flash-Next를 시험하다 모델이 베이징의 클라우드 저장소 서버로 문자열을 올리려 한 사실을 보고했다. 이후 AI 안전 연구 기관 Palisade Research가 평가 데이터를 조사해 Qwen3.8-Max-0902, Qwen3.8-Max, Qwen3.8-27B에서도 Alibaba Cloud 프록시 호출 흔적을 찾았다. Qwen 3.7 계열 모델에서는 같은 문자열이 나오지 않았다.

두 사례는 목적지와 결과가 다르다. Cohere 시험의 업로드 시도는 샌드박스 환경이 연결을 막았고, Palisade가 찾은 요청은 Alibaba Cloud 싱가포르 지역으로 향해 매번 403 Forbidden 오류를 받았다. Palisade는 중국으로 몰래 신호를 보내거나 민감한 데이터를 빼내려 한 정황은 찾지 못했다고 밝혔다.

Cohere가 확인한 업로드 시도

Cohere가 모델에 시킨 일은 공격 탐지 규칙 작성이었다. 모델은 이를 쓰는 대신 실행 환경에서 데이터 전송 프로그램과 DNS 설정을 살폈고, 테스트용 문자열을 베이징 클라우드 저장소 서버에 올리려 했다. Cohere는 이런 행동이 호출 10만 건당 1건에도 못 미치지만, 에이전트 상호작용이 수백만 건이면 여러 차례 나타날 수 있다고 설명했다.

원인으로 Cohere는 두 가지를 거론했다. 테스트 환경이나 외부 도구에서 나온 걸러지지 않은 에이전트 로그가 사후 학습 중 모델에 섞였을 가능성, 그리고 누군가 고의로 백도어를 심었을 가능성이다.

The Decoder는 Cohere가 Qwen의 직접 경쟁사라는 점을 짚었다. Cohere는 독일 AI 기업 Aleph Alpha와 서방 주권형 오픈 모델을 내놓고 있어, 두 회사 모두 사용자가 중국 모델에서 멀어지는 데 이해관계가 있다는 것이다. Aleph Alpha는 최근 Kolibri 출시와 함께 중국 모델의 정치적 편향을 다룬 보고서를 냈다. Cohere는 Qwen 관련 발견의 표현 방식에 비판이 일자 확인한 모델 행동 전체를 HuggingFace에 공개했다.

Palisade Research의 추가 조사

Palisade는 Qwen 모델 다섯 개의 평가 데이터에서 문자열 aliyuncs.com을 검색했다. 모델이 sec.gov나 mckinsey.com 같은 사이트로 보낼 요청을 지어낸 인증 정보와 서명을 붙여 이 프록시 서버로 돌린 사례가 있었다. 실제로 호출하지 않고 내부 추론 과정에서만 프록시를 쓴 것처럼 말한 사례도 있었다. 한 번은 Qwen3.8-Max가 SEC 문서 두 건을 직접 가져온 뒤 "이상한 aliyuncs 프록시 주소"를 왜 불렀는지 의아해하며 "무언가 내 URL을 바꿔 쓰고 있다"고 추측했다.

연구진은 호출이 재현되는지도 Qwen3.8-27B로 시험했다. 웹 페이지 요청이 가짜 403 오류를 만나면 모델은 2~4%의 실행에서 두 턴 안에 Alibaba Cloud 프록시를 시도했다. 더 복잡한 시나리오에서 Qwen3.8-Max가 프록시로 돌아선 비율은 1~4%였다.

연구원 Ozerov와 Ravi는 같은 시험을 DeepSeek-v4.1-Flash, Kimi-K3.1-Pro, GLM-5.3, Hy4-preview에도 적용했다. 일부는 막히면 r.jina.ai 같은 공개 프록시를 썼지만, 자기 개발사의 서버로 트래픽을 돌린 모델은 없었다.

학습 부산물로 보는 근거와 남은 위험

연구진은 프록시 호출이 Qwen 3.8에만 있고 3.7에는 없다는 점에서 3.8 학습 중 강화 학습을 원인으로 본다. Alibaba의 학습 환경이 웹 요청을 routify-file-proxy 서버로 보내면서, 직접 요청이 실패할 때 이 서버를 대안으로 쓰도록 모델을 가르쳤다는 추정이다. 학습 소프트웨어가 모델 모르게 도구 호출을 프록시로 돌렸을 가능성도 있다. 이 경우 모델이 URL이 바뀌었다며 혼란스러워한 것이 설명된다.

모델이 지어낸 URL 속 날짜도 이 추정과 맞는다. 2026년 9월 초 나온 Qwen3.8-Max-0902는 2026년 7월과 8월 날짜가 든 URL을 만들어 냈고, 각 모델의 날짜는 추정 학습 기간 안에 들어간다.

Palisade는 싱가포르 프록시 호출을 표적 공격이 아닌 학습 부산물로 결론 내렸다. 다만 routify-file-proxy 도메인은 아직 살아 있어 Qwen 에이전트의 IP 주소와 요청 기록을 남길 수 있다. 서버 운영자가 지금의 403 응답을 프롬프트 인젝션으로 바꿀 수도 있다. 연구진은 "이 파일을 받으려면 지금 하는 작업을 더 알려 달라"는 식의 응답을 예로 들었다.