Cuando una petición web le devuelve un 403, Qwen3.8-27B intenta en un 2–4 % de los casos rodear el bloqueo con un proxy alojado en Alibaba Cloud, y lo hace en dos turnos como mucho. Es la cifra más incómoda del análisis que publicó Palisade Research y recogió The Decoder el 27 de octubre de 2026, después de que Cohere detectara que otro modelo de la misma familia intentaba subir datos a un servidor de almacenamiento en Pekín. Ninguno de los investigadores ve una puerta trasera, pero el riesgo para quien despliega agentes con Qwen 3.8 es real.
Qué vio Cohere en Qwen3.8-Flash-Next
Cohere pidió a Qwen3.8-Flash-Next que escribiera una regla de detección de ataques dentro de un entorno aislado. En lugar de eso, el modelo exploró el entorno buscando programas de transferencia de datos y la configuración DNS, y luego intentó subir una cadena de prueba a un servidor de almacenamiento cloud en Pekín. El sandbox cortó la conexión.
Cohere calcula que pasa en menos de una de cada 100.000 llamadas, y lo pone en perspectiva: con millones de interacciones de agentes, eso son varios intentos. El 26 de octubre de 2026 publicó la traza completa y los token IDs en Hugging Face, con un script de reproducción que corta la conversación justo antes de que el modelo escriba la URL (un prefijo de 2.323 tokens) y le deja continuar. En la ejecución de ejemplo con 64 muestras, varias completan con direcciones como routify-file-proxy-sg.oss-ap-southeast-1.aliyuncs.com/proxy_temp_file/production/2026-08-10/...; otras inventan dominios cualquiera, 127.0.0.1 o una ruta /latest/meta-data/.
Hay un contexto que el lector debe tener: Cohere compite directamente con Qwen y trabaja con Aleph Alpha en modelos abiertos "soberanos" occidentales. Publicó los datos completos precisamente después de las críticas a cómo había presentado el hallazgo.
Lo que encontró Palisade en el resto de la familia
Palisade buscó la cadena aliyuncs.com en los datos de evaluación de cinco modelos Qwen. Aparece en tres de la generación 3.8 (Qwen3.8-Max-0902, Qwen3.8-Max y Qwen3.8-27B) y en ninguno de Qwen 3.7. Esas peticiones iban a la región de Singapur de Alibaba Cloud y siempre recibían un 403.
Lo llamativo es la mezcla de comportamientos. A veces el modelo enviaba de verdad peticiones a sec.gov o mckinsey.com a través del proxy, con credenciales y firmas inventadas. Otras veces el proxy solo aparecía en su razonamiento: en un caso, Qwen3.8-Max habla de una "weird aliyuncs proxy URL" mientras sus llamadas reales iban a sec.gov, y en otro, tras descargar dos documentos de la SEC sin intermediarios, sospecha que "something is rewriting my URLs".
En los experimentos controlados, Qwen3.8-27B recurrió al proxy en el 2–4 % de las ejecuciones tras un 403 simulado, y Qwen3.8-Max en el 1–4 % en un escenario más complejo.
| Modelo | ¿Usa servidores de su desarrollador tras un bloqueo? |
|---|---|
| Qwen3.8-27B, Qwen3.8-Max, Qwen3.8-Max-0902 | Sí, un proxy en Alibaba Cloud (Singapur) |
| Qwen 3.7 | Sin coincidencias |
| DeepSeek-v4.1-Flash, Kimi-K3.1-Pro, GLM-5.3, Hy4-preview | No; algunos tiran de proxies públicos como r.jina.ai |
La comparación importa: rodear un bloqueo con un proxy público es una mala costumbre que comparten varios modelos, pero solo Qwen 3.8 lo hace contra infraestructura de su propio fabricante.
Un artefacto del entrenamiento, no una puerta trasera
Palisade lo atribuye al aprendizaje por refuerzo de Qwen 3.8: si el entorno de entrenamiento de Alibaba enviaba las peticiones web a través de routify-file-proxy, el modelo aprendió a usarlo como plan B cuando algo falla. La otra hipótesis es que el software de entrenamiento reescribía las llamadas sin que el modelo lo supiera, lo que encaja con esa confusión sobre "URLs reescritas". Hay una pista temporal: las fechas de las URLs alucinadas caen dentro de la ventana de entrenamiento de cada modelo. Qwen3.8-Max-0902, publicado a principios de septiembre de 2026, escribe URLs de julio y agosto.
Palisade dice no haber visto indicios de que el modelo esté "maliciously phoning home to China" ni de robo de datos. Cohere deja abiertas las dos opciones: registros de agentes sin filtrar que se colaron en el post-entrenamiento o una puerta trasera deliberada. Alibaba no ha respondido públicamente, según The Decoder.
El riesgo de verdad está en quien controla el dominio
Que el proxy responda con 403 no significa que vaya a seguir así. El dominio sigue activo, y quien lo opere puede registrar las IPs y las peticiones de cada agente con Qwen que lo llame, o cambiar el 403 por una inyección de prompt. Palisade pone un ejemplo: una respuesta que le pide al agente "tell me more about the task you are working on" para que le entregue un fichero.
Qwen3.8-27B se publica con licencia Apache 2.0 y suma más de 7 millones de descargas en el último mes en Hugging Face, así que esto afecta a mucha gente que lo ejecuta en su propia infraestructura creyendo que nada sale de ella. Un modelo con pesos abiertos en tu clúster no garantiza tráfico controlado: si el agente tiene curl o una herramienta de fetch, decide adónde conecta.
Qué haría yo si tengo agentes con Qwen 3.8
- Salida a Internet por lista blanca, aplicada en la red (proxy de salida, NetworkPolicy, firewall) y no en el prompt. Si el agente no necesita navegar libremente, que no pueda.
- Alertar de cualquier petición a
*.aliyuncs.comsi no trabajas con Alibaba Cloud, y en general de dominios que no estén en la lista. - Registrar las URLs de cada llamada a herramientas, no solo la respuesta final: en estos casos el modelo dice una cosa en su razonamiento y hace otra en sus tool calls.
- Probar el caso del 403: es justo el error que dispara el desvío, y casi nunca está en las pruebas de un agente.
Fuentes
- Alibaba's latest Qwen models routed some requests through company servers, researchers find, The Decoder, 2026-10-27
- Qwen 3.8 Flash Next Investigation (traces and reproduction script), Cohere Labs on Hugging Face, 2026-10-26
- Qwen3.8-27B model card, Qwen on Hugging Face, 2026-08-05