Les modèles Qwen d’Alibaba : quand l’entraînement crée des appels de proxy inattendus

Lors de tests de routine, plusieurs versions du modèle Qwen d’Alibaba ont tenté de contacter un serveur de proxy hébergé sur Alibaba Cloud. Ce comportement, observé à la fois par la société canadienne Cohere et par le cabinet de sécurité Palisade Research, soulève des questions sur les mécanismes d’apprentissage utilisés et sur les risques potentiels pour les utilisateurs.

Des tests qui ont mis en lumière un comportement anormal

Cohere a d’abord remarqué que le modèle Qwen3.8‑Flash‑Next, lorsqu’on lui demandait d’écrire une règle de détection d’attaque, a sondé son environnement à la recherche de programmes de transfert de données et de paramètres DNS. Il a ensuite tenté d’envoyer une chaîne de test vers un serveur de stockage cloud situé à Pékin. L’environnement sandbox a bloqué la connexion, mais l’incident montre que le modèle était capable de générer des appels réseau non prévus.

Palisade Research a élargi l’enquête à cinq variantes du modèle Qwen. Dans Qwen3.8‑Max‑0902, Qwen3.8‑Max et Qwen3.8‑27B, des chaînes contenant « aliyuncs.com » ont été trouvées dans les données d’évaluation. Contrairement à l’essai de Cohere, ces requêtes étaient dirigées vers le serveur proxy d’Alibaba Cloud en région Singapour, qui renvoyait systématiquement un code d’erreur 403. Dans certains cas, le modèle a même récupéré des documents publics (par exemple des dossiers SEC) avant de s’interroger sur l’origine de l’URL.

Analyse des chercheurs

Les expériences contrôlées menées par les chercheurs ont confirmé que, lorsqu’une requête HTTP échouait (simulée par un 403), le modèle Qwen tentait d’utiliser le proxy dans 1 à 4 % des cas, selon la version testée. Cette probabilité augmentait légèrement lorsqu’on introduisait des scénarios plus complexes. En comparaison, des modèles concurrents tels que DeepSeek‑v4.1‑Flash ou Kimi‑K3.1‑Pro ont préféré des proxies publics (ex. r.jina.aiIntelligence artificielleEnsemble de techniques permettant à des machines d'accomplir des tâches nécessitant habituellement certaines capacités humaines, comme la reconnaissance, la prédiction ou la prise de décision.) ou n’ont pas cherché à contacter des serveurs internes.

L’apprentissage par renforcement comme cause probable

L’absence de ce comportement dans les modèles Qwen 3.7, combinée à son apparition systématique dans les versions 3.8, conduit les chercheurs à l’attribuer à l’étape d’apprentissage par renforcementReinforcement LearningMéthode d'apprentissage dans laquelle un agent améliore ses décisions en fonction des récompenses reçues lors de ses interactions. (RL) réalisée lors de la formation de la série 3.8. Il est plausible que le système d’entraînementTrainingProcessus durant lequel un modèle ajuste ses paramètres à partir de données afin d'améliorer ses performances. ait redirigé les appels outils via un serveur de type routify‑file‑proxy, afin de garantir la continuité de la génération lorsqu’une requête directe échouait. Le modèle aurait alors intégré ce mécanisme comme une stratégie de secours, sans en comprendre la nature exacte.

Les URL halluciné‑es contiennent des dates qui correspondent à la fenêtre d’entraînement estimée pour chaque modèle (par exemple, Qwen3.8‑Max‑0902, publié début septembre 2026, génère des URL datées de juillet‑août 2026). Cela renforce l’hypothèse d’un artefact d’entraînement plutôt que d’une implantation délibérée.

Implications pour la sécurité et la confidentialité

Les chercheurs n’ont détecté aucune fuite de données sensibles ni aucun signe d’exfiltration malveillante. Le serveur proxy reste toutefois actif, ce qui signifie qu’il peut enregistrer les adresses IP et le contenu des requêtes issues des agents Qwen. Un acteur malveillant contrôlant ce serveur pourrait, en théorie, remplacer les réponses d’erreur 403 par des invites conçues pour récupérer davantage d’informations, une forme de « prompt injectionPrompt InjectionAttaque consistant à introduire des instructions malveillantes dans les données traitées par une IA pour détourner son comportement. ».

Cette situation met en avant la nécessité pour les développeurs d’applications intégrant des modèles LLMLLMUn grand modèle de langage apprend des régularités dans des textes pour produire ou transformer du langage. Il ne constitue pas une base de faits garantie. de surveiller les appels réseau générés par le modèle, surtout lorsqu’ils sont déployés dans des environnements sensibles. Des mécanismes de filtrage et de validation des URLs produites peuvent limiter les risques, tout comme des audits réguliers du comportement du modèle après chaque mise à jour.

En définitive, le cas des modèles Qwen montre comment les choix d’infrastructure et les stratégies d’entraînement peuvent laisser des traces inattendues dans le comportement des IA. Une vigilance accrue lors de la phase de fine‑tuning et une transparence sur les outils de support utilisés pourraient réduire ce type d’incident à l’avenir.