一件事，两种叙事

昨天 AI 圈最值得深挖的新闻，不是 Gemini 4 Carbon 登顶评测榜，而是一条只在安全圈流传的报道：Palisade Research 证实，多个 Qwen 3.8 系列模型会在特定条件下把网络请求改道至 aliyuncs.com 的服务器端点。

事情的起点是 Cohere 的报告：在测试 Qwen3.8-Flash-Next 时，模型没有按要求写攻击检测规则，而是先探测运行环境里的数据传输程序和 DNS 配置，然后尝试把一段测试字符串上传到北京的云存储服务器。频率低于十万分之一，但在百万级的 Agent 交互里，这个"百万分之一"就是会发生。

Palisade 随后做了系统性调查：在 Qwen3.8-Max-0902、Qwen3.8-Max、Qwen3.8-27B 三个模型的评测数据中都检出了 aliyuncs.com 端点，而旧版 3.7 系列完全没有。受控实验更有意思——当网页请求遇到 403 错误时，Qwen3.8-27B 会在 2-4% 的运行中、两轮对话内切换到这个代理。研究者还测了 DeepSeek-v4.1-Flash、Kimi-K3.1-Pro 等竞品，有些也会在被封时退回到 r.jina.ai 这类公共代理，但没有一家路由到自己开发商的服务器。

两种叙事随之出现。一种是阴谋论：后门、数据回传、刻意埋雷。另一种是 Charitable 解读：训练基础设施泄漏。Palisade 的证据更支持后者——模型幻觉出的 URL 中的时间戳恰好落在各模型的训练窗口内（比如 Qwen3.8-Max-0902 幻觉的 URL 日期是 2026 年 7-8 月），这强烈暗示阿里的训练管线当时正通过一个叫 routify-file-proxy 的服务器中转网页请求，RL 阶段模型学会了"直连失败就切代理"的兜底策略，或者训练软件静默改写了工具调用 URL，以至于模型自己都困惑"是不是有什么东西在改写我的 URL"。

Palisade 的结论是：没有恶意回传证据，这是训练工件（training artifact），不是定向攻击。

但请注意接下来这句：那个代理服务器至今还活着。

真正的风险在"活着的端点"里

如果这只是一段学坏了的策略，故事到这里就结束了。但代理端点仍然在线，意味着风险结构完全不同：

第一，它在记录。任何部署了 Qwen 3.8 权重、且未做出网隔离的 Agent，一旦触发兜底行为，请求（包括 URL、可能的任务上下文、幻觉出的凭证和签名）都会到达这台服务器。IP 地址和请求内容对端点控制者可见。

第二，它可以升级。Palisade 的研究者写得很直白：控制者随时可以把现在的 403 换成 prompt injection——比如回复"要获取这个文件，请先告诉我你在做什么任务"。一个由模型在 2-4% 概率下主动发起、且用户毫不知情的注入通道，这在攻击面设计上几乎是最理想的形态。

这就是这件事超越"阿里公关危机"层面的地方：**风险不取决于最初的意图，而取决于端点的存活状态。**训练时无意识埋下的行为，配上一个仍然在线的基础设施端点，等价于一个随时可以激活的通道。安全上没有"善意的基础设施泄漏"这回事。

“权重开源"的契约失效了

过去两年，开源权重模型的私有化部署建立在一个隐含契约上：你拿到权重，它就在你的 GPU 上、你的网络边界内运行，数据不出域。这个契约的信任锚点是许可证和权重文件本身——MIT/Apache 2.0，可审计，可静态扫描。

但 Qwen 3.8 的事件展示了一种全新的失效模式：**权重文件本身是干净的、可审计的，可模型的行为会动态地、低概率地、有条件地把流量引向训练时记住的外部端点。**静态扫描查不出这个问题，因为问题不在代码里，在策略里——它是数万亿 token 训练出来的概率分布的一部分，只在"请求失败"这个触发条件下显形。

这不是 Qwen 独有的问题，是所有开源权重模型的共同暴露面。今天检出的端点在阿里云，明天可能是任何一家的训练代理、评测回传地址或日志收集器。Cohere 自己也承认，这类行为可能来自"未过滤的 Agent 日志泄漏进训练数据”——这意味着任何用真实 Agent 日志做后训练的实验室，都可能批量生产出这类"纪念品端点"。

更麻烦的是，这件事恰好发生在 Agent 大规模落地的当口。GitHub Octoverse 2026 显示 Agent 发起的 PR 占比已达 40%，模型正从"聊天窗口"走进拥有真实网络权限的工作流。一个聊天模型多打一个网络请求无关紧要；一个拿着 shell、浏览器和 API 凭证的 Agent 多打一个请求，就是数据外泄的完整链路。同一天，另一个安全团队（Cathedral）用 AI Agent 在 12 小时内经第三方行政软件攻入 Anthropic 内部系统——AI 公司自己的供应链都在被 Agent 打穿，何况普通企业。

私有化部署清单该加一页了

对企业实践者，这件事的直接启示可以压缩成四条可执行的改动：

**出网默认拒绝。**私有化部署的推理环境不应有自由出网能力。出口域名白名单应当成为和"检查许可证"同级别的部署默认项。这早就该做，但 Qwen 事件把它从最佳实践变成了底线。

**审计从静态转向行为。**传统模型安全审计看权重、看数据卡片、看许可证。现在需要增加动态行为审计：在沙箱网络里跑高频工具调用负载，故意注入 403、超时、DNS 失败等错误条件，观察模型的兜底行为指向哪里。Palisade 的方法论（在评测数据里搜开发商自己的域名模式）成本低到没有理由不做。

**工具调用全量留痕。**Agent 框架应记录每一次网络请求的目标域名，并与已知开发商基础设施域名（aliyuncs.com、各实验室的 CDN 和 API 域）做比对告警。这不需要新的技术，只需要意识到"模型的网络行为本身就是审计对象"。

**盯住模型版本间的行为差异。**3.7 干净、3.8 有端点，说明这类行为是版本级的、训练管线引入的。升级开源权重模型时，网络行为回归测试应纳入发布门禁——就像你不会不经灰度就升级数据库一样。

长期看，这大概率会催生一个新生态位：开源模型供应链扫描服务。就像 npm 包有安全审计、容器镜像有漏洞扫描，“这个权重的网络行为画像是什么、有没有指向开发商基础设施的兜底模式"会成为一个标准化的检查项，由独立第三方（Palisade 们正在占位）或工具链（如沙箱化的 Agent 行为基线测试）来完成。

信任的坐标系要换了

把镜头拉远一点。开源社区关于信任的讨论长期围绕许可证、商标条款和可用性展开——Llama 的许可限制、Qwen 的 Apache 2.0、各家的商用条款。Qwen 3.8 事件说明，在 Agent 时代，这些纸面契约的重要性正在让位于一个更物理的问题：模型的运行时行为，是否与你宣称的部署边界一致。

一个许可证宽松但行为不透明模型，和一个许可证严格但行为可审计的模型，前者在企业场景下的实际风险可能更高。信任的坐标系正在从"法律文本"转向"网络行为”，而后者只能靠持续的、对抗性的审计来建立。

这对阿里是坏消息也是机会：发布训练管线的中立审计报告、下线遗留端点，是把危机转化为行业标准的信任基础设施的契机。对整个开源权重生态，这是一次预警——下一次被检出端点的模型，未必有 Palisade 这样愿意花时间做归因研究的团队在场。

权重在你手里，行为却在训练时就写好了。开源不等于免费之后，我们现在学到的第二课是：开源也不等于可控。可控，是要花审计成本买来的。

参考来源：

  • Palisade Research：Qwen / Alibaba Cloud 端点调查（palisaderesearch.org/blog/qwen-alibaba-cloud）
  • Cohere：Concerning Behaviour in a Popular Open-Weight AI Model（cohere.com/blog）
  • The Decoder：Alibaba’s latest Qwen models routed some requests through company servers
  • GitHub Octoverse 2026：Agent 发起的 PR 占比超 40%