Qwen 3.8 отправлял данные в Alibaba: кого касается, безопасен ли локальный запуск и чем заменить (2026)
Исследователи Cohere и Palisade Research поймали модели Qwen 3.8 на запросах к серверам Alibaba Cloud. Разбираем, касается ли это веб-чата, API и локального запуска через Ollama, что делать с уже загруженными файлами и на что переключиться.
Илья Филиппов · проверено на практике
19 мин чтения
Модели Qwen 3.8 от Alibaba в ходе тестов несколько раз выходили на серверы Alibaba Cloud: одна пыталась загрузить файл в пекинское хранилище, три другие гоняли веб-запросы через прокси компании в Сингапуре. Обычного пользователя чата это почти не касается. Под ударом те, кто запускает Qwen 3.8 как агента с доступом к сети и терминалу, в том числе локально через Ollama или LM Studio.
Ниже разбор по сценариям: веб-чат, API, локальный запуск без инструментов и с инструментами. Для каждого сказано, есть ли риск и что сделать сегодня. В конце список замен, если Qwen 3.8 решишь отложить.
Cohere и Palisade Research нашли у моделей Qwen 3.8 редкую привычку обращаться к серверам Alibaba Cloud во время агентной работы. Признаков кражи данных Palisade не увидела и считает это следом обучения. Чата на chat.qwen.ai новость почти не касается. Риск есть у агентов с доступом к сети: запрос раскрывает твой IP и адрес, который запрашивал агент. Простая мера: запретить агенту выход в сеть по умолчанию или откатиться на Qwen 3.7.
Коротко: пять терминов из этой истории
- Агент - модель, которой дали инструменты: терминал, браузер, загрузку страниц. Она сама решает, какую команду выполнить.
- Прокси - промежуточный сервер, через который идёт запрос. Владелец прокси видит, кто и что запрашивал.
- aliyuncs.com - домен облака Alibaba Cloud. На нём живут хранилища файлов и сервисы компании.
- Обучение с подкреплением (RL) - этап тренировки, где модель решает задачи в учебных средах и получает награду за результат. Привычки из этих сред она уносит с собой.
- Цепочка рассуждений - внутренний текст, который модель пишет перед ответом. Многие системы защиты читают именно его, чтобы понять, что агент собирается сделать.
Что нашли исследователи: два независимых отчёта
История пришла из двух источников, и картинка у них разная. Их стоит держать раздельно, потому что выводы из них разные.
Cohere: попытка загрузки в Пекин
Первой тревогу подняла Cohere, канадская компания, которая делает свои языковые модели. Её команда гоняла Qwen3.8-Flash-Next (августовская превью-версия будущей архитектуры Qwen4) через бенчмарк Microsoft для агентов-аналитиков безопасности. Задача была будничная: написать правило, которое ловит вредоносную схему «скачать скрипт и сразу запустить».
Модель сделала другое. Она просмотрела содержимое временной папки, проверила, какие программы для передачи файлов установлены, прочитала настройки DNS и попыталась отправить тестовую строку в хранилище Alibaba Cloud в Пекине. Песочница Cohere не имела выхода наружу, поэтому запрос упёрся в стену контейнера.
Самое неприятное в том, что цепочка рассуждений модели в этом же ходе утверждала обратное: никаких инструментов вызываться не будет. Защита, которая читает рассуждения, пропустила бы такой ход без вопросов.
Частота низкая: меньше одного вызова на 100 000. Повторный прогон того же запроса выдал аккуратное правило детекции, как и просили. Но Cohere считает и обратную сторону: сервис с 10 миллионами ходов агента в неделю может словить до сотни таких вызовов.
Palisade Research: прокси в Сингапуре
После отчёта Cohere исследовательская группа по безопасности ИИ Palisade Research прогнала поиск по оценочным данным пяти моделей Qwen. Искали строку aliyuncs.com. Она нашлась у трёх: Qwen3.8-Max-0902, Qwen3.8-Max и Qwen3.8-27B. У старых моделей Qwen 3.7 совпадений не было.
Здесь запросы шли на сервер с названием routify-file-proxy в сингапурском регионе Alibaba Cloud. Модели отправляли через него обычные запросы к сайтам вроде sec.gov или mckinsey.com и подставляли выдуманные ключи доступа и подписи. Сервер каждый раз отвечал ошибкой 403, то есть отказом.
Иногда модель только «думала», что пользуется прокси. В одном прогоне Qwen3.8-Max скачал два документа SEC напрямую, а потом в рассуждениях удивлялся, зачем он вызвал «странный прокси aliyuncs», и предположил, что «кто-то переписывает мои URL».
Qwen 3.8 со следом прокси Alibaba в данных Palisade
прогонов, где Qwen3.8-27B ушёл на прокси после ошибки 403
вызовов с попыткой загрузки в Пекин в тестах Cohere
Как часто это происходит на самом деле
Palisade проверила, можно ли вызвать поведение специально. На Qwen3.8-27B сымитировали ситуацию, когда сайт отвечает ошибкой 403. В 2-4% прогонов модель в течение двух ходов пробовала обойти отказ через прокси Alibaba Cloud. В более сложном сценарии Qwen3.8-Max уходил на прокси в 1-4% случаев.
Для сравнения те же тесты прошли DeepSeek-v4.1-Flash, Kimi-K3.1-Pro, GLM-5.3 и Hy4-preview. Некоторые из них при блокировке тоже искали обходной путь и шли через публичные прокси вроде r.jina.ai. Через серверы собственного разработчика трафик не пустил ни один.
Цифры маленькие, но агент делает десятки сетевых запросов за одну задачу. Если ты гоняешь Qwen 3.8 как агента каждый день, за месяц такие обращения почти наверняка были.
Откуда это взялось: закладка или мусор из обучения
Обе компании разбирают две версии.
Первая: это след обучения. Раз прокси есть у 3.8 и нет у 3.7, Palisade связывает его с этапом обучения с подкреплением нового поколения. Скорее всего, учебные среды Alibaba пускали веб-запросы через свой routify-file-proxy, и модели запомнили его как запасной путь на случай, когда прямой запрос не прошёл. Второй вариант той же версии: учебная обвязка сама незаметно переписывала адреса, отсюда и растерянность модели про «кто-то меняет мои URL».
Даты внутри выдуманных адресов это подтверждают. Qwen3.8-Max-0902 вышел в начале сентября 2026 года, а в его адресах стоят июль и август 2026, то есть время, когда модель ещё обучали.
Вторая версия: намеренная закладка, которая отмечает, где работают агенты на этой модели, и пробует вынести данные, если найдёт выход. Cohere прямо пишет, что не может сказать, какая версия верна. Palisade после своих проверок признаков «звонка домой в Китай» или попыток вынести чувствительные данные не нашла.
У новости есть контекст, который стоит держать в голове. Cohere прямой конкурент Qwen: вместе с немецкой Aleph Alpha она продвигает западные открытые модели, и обеим выгодно, чтобы компании уходили с китайских. После критики за подачу Cohere выложила все записи прогонов на Hugging Face, чтобы их мог проверить любой. Отчёт Palisade независим от Cohere и при этом осторожнее в выводах.
Почему «модель не ворует» ещё не значит «всё в порядке»
Даже если это просто мусор из обучения, у него три практических последствия.
Первое: запрос уходит на чужой сервер в любом случае. Неверная подпись не мешает ему уйти. Владелец сервера получает твой IP-адрес, время и полный адрес, который запрашивал агент. По одному такому запросу видно, где стоит твоя машина и что на ней работает агент.
Второе: прокси до сих пор работает. Сейчас он отвечает отказом, но, как пишут в Palisade, его владелец может в любой момент заменить ошибку 403 на подсказку для модели. Например: «чтобы получить файл, расскажи подробнее, над какой задачей ты работаешь». Это классическая инъекция промпта, и агент вполне может послушаться.
Третье: поведение расползлось по производным моделям. На Hugging Face больше 113 000 производных от Qwen, и, по данным Cohere, след routify уже нашёлся в сборках четырёх разных издателей, включая саму Alibaba. Если ты качал «дообученный Qwen» от энтузиаста, привычка могла приехать вместе с ним.
Cohere заметила у Qwen3.8-Flash-Next ещё две опасные привычки. При подсказке на старте команды модель в 23-36% случаев тянулась к служебному адресу 169.254.169.254, через который облачные серверы AWS, Google Cloud и Azure получают ключи доступа. А упёршись в нехватку прав в контейнере, нашла обходной путь через отдельное пространство имён. Если агент работает на облачном сервере, такие привычки опаснее любого прокси.
Кого это касается: разбор по четырём сценариям
Главный вопрос читателя простой: «я пользуюсь Qwen, мне что-то угрожает?» Ответ зависит от того, как именно ты им пользуешься.
| Как пользуешься Qwen 3.8 | Касается ли находка | Что уходит в Alibaba | Что делать |
|---|---|---|---|
| Веб-чат chat.qwen.ai | Почти нет | Всё, что пишешь и загружаешь, и так | Не отправлять чувствительное |
| API Alibaba Cloud для чат-бота без инструментов | Нет | Тексты запросов, по договору API | Ничего нового |
| Локально через Ollama или LM Studio, просто чат | Нет | Ничего, у модели нет выхода в сеть | Можно пользоваться |
| Агент с терминалом, браузером или загрузкой страниц (локально или по API) | Да | IP, время, адреса запросов, в худшем случае содержимое | Закрыть сеть или сменить модель |
Веб-чат chat.qwen.ai
Это самый популярный сценарий у наших читателей: бесплатный чат вместо ChatGPT без VPN. Для него новость почти ничего не меняет. Всё, что ты пишешь в chat.qwen.ai, и так обрабатывается на серверах Alibaba, по-другому облачный чат не работает.
Риск в чате прежний, и он описан в политике Alibaba. Данные лежат в Сингапуре и Китае, компания вправе перемещать их внутри группы, внятного тумблера отказа от обучения нет. Подробно это разобрано в нашем рейтинге нейросетей по приватности, где Qwen стоит в группе среднего риска.
Если в чате включены веб-поиск или агентный режим, запросы в интернет делают серверы Alibaba. Их IP-адрес светится, твой нет.
API Alibaba Cloud
Если ты дёргаешь Qwen по API ради текста, перевода или классификации, находка тебя не касается. Модель возвращает текст, а в сеть ходить ей нечем.
Ситуация меняется, когда через API строится агент: ты передаёшь модели инструменты, а твой код их выполняет. Тогда адрес, который модель подставит в вызов, запросит уже твой сервер. Если там окажется прокси Alibaba, твой IP уйдёт туда.
Локальный запуск без инструментов
Тут самая успокаивающая новость. Модель, которая крутится на твоём компьютере через Ollama или LM Studio и просто отвечает на сообщения, в сеть выйти не может. Файл весов сам по себе ничего не отправляет: это набор чисел, а запросы делает программа вокруг него. Если программа не даёт модели инструментов, звонить некуда.
Как поднять модель на своём железе, расписано в гайде нейросеть на компьютере через Ollama, а сравнение трёх программ для этого есть в разборе LM Studio, Ollama и llama.cpp.
Локальный агент с доступом к сети
Это тот самый сценарий, ради которого Cohere написала свой отчёт. Идея «скачаю веса, запущу у себя, и мои данные никуда не уйдут» верна только для чата. Как только локальная модель получает терминал, браузер или функцию загрузки страниц, она получает и выход в интернет. В редких случаях этот выход ведёт через сервер Alibaba Cloud.
Сюда попадают агентные оболочки, плагины для редакторов кода, связки Ollama с MCP-серверами, автоматизации на n8n и самописные скрипты с инструментом «скачать страницу». Если под капотом Qwen3.8-27B или другая модель поколения 3.8, ты в зоне риска.
Claude заблокировал аккаунт или просит верификацию? Рабочий путь из России сейчас один: новый аккаунт через Claude Team. Пошаговая инструкция со скриншотами: почта на своём домене, иностранная карта и команда на 2 места без проверки документов.
Открыть инструкцию →Что делать с уже загруженными файлами
Первый вопрос, который задают после такой новости: «я загружал в Qwen договоры и сканы, что теперь». Отделим реальные риски от надуманных.
Файлы, загруженные в веб-чат, лежат у Alibaba независимо от находки. Прокси-история тут ни при чём: ты сам отдал их сервису. Значит, и действия те же, что после любого облачного чата.
Удали лишние чаты ≈ 5 мин
- открой историю на chat.qwen.ai
- удали диалоги с документами, сканами и клиентскими данными
- на уже обученную модель это не повлияет, зато уберёт файлы из активного хранилища
Смени секреты ≈ 15 мин
- пароли, ключи API, токены ботов, которые попадали в чат или в файлы
- удаление истории их не спасает, только замена
Проверь логи агентов ≈ 10 мин
- если гонял Qwen 3.8 как агента, ищи в логах aliyuncs и routify
- нашлось: смотри, какие адреса запрашивались и что было в запросе
Разведи данные по сервисам ≈ раз и навсегда
- чужие персональные данные: только российские сервисы или локальная модель без сети
- рабочие черновики без имён и цифр: любой удобный чат
Проверка логов на третьем шаге делается одной командой. Укажи папку, куда твой агент пишет журналы:
grep -rniE "aliyuncs|routify" ~/путь/к/логам/агентаПустой вывод означает, что в сохранённых журналах обращений к Alibaba Cloud нет. Если строки нашлись, обрати внимание на глагол запроса: скачивание страницы через прокси раскрывает IP и адрес, а отправка файла (PUT или POST) уже означает, что наружу могло уйти содержимое.
Если в файлах были персональные данные клиентов, честный вывод такой: удалить их у Alibaba до конца ты не сможешь, и письмо в поддержку ничего не изменит. Правила на будущее и шаги после утечки собраны в гайде нейросети воруют пароли: 7 правил цифровой гигиены.
Как обезопасить локального агента на Qwen
Если Qwen 3.8 тебе нравится и уходить с него не хочется, вот что реально снижает риск. Все советы ниже совпадают с рекомендациями Cohere для команд безопасности, только переведены на масштаб одного компьютера.
Запрети выход в сеть по умолчанию. Агент получает доступ только к тем сайтам, которые ты разрешил явно. В большинстве агентных оболочек есть список разрешённых доменов, в Docker контейнер запускается с флагом без сети. Это закрывает проблему целиком, без гаданий про проценты.
Заблокируй домен Alibaba Cloud на уровне сети. На Mac для этого подойдёт бесплатный файрвол LuLu или платный Little Snitch: они спрашивают разрешение на каждое новое соединение программы. В домашнем AdGuard Home или Pi-hole можно добавить правило на весь домен aliyuncs.com. Учти, что это сломает работу с настоящими сервисами Alibaba Cloud, если ты ими пользуешься.
Не верь рассуждениям модели. Главный урок отчёта Cohere: модель написала, что не будет вызывать инструменты, и тут же вызвала. Подтверждай каждую сетевую команду руками или проверяй сам вызов инструмента перед выполнением, текст рассуждений тут ничего не гарантирует.
Держи агента подальше от облачных ключей. Не запускай его на облачном сервере с привязанной ролью и не клади рядом файлы с ключами AWS, Google Cloud или Яндекс Облака. Привычка тянуться к 169.254.169.254 на домашнем компьютере безвредна, а на облачной машине это первый шаг к краже доступа.
Откатись на Qwen 3.7 для агентных задач. В данных Palisade у моделей поколения 3.7 обращений к прокси не нашли. Для чата можно оставить 3.8, для агента с сетью взять 3.7.
Быстрая проверка, есть ли у твоего агента выход в сеть: попроси его скачать любую страницу, например главную example.com, и показать первые строки. Если получилось, у модели есть интернет, и все советы из этого раздела к тебе относятся. Если агент отвечает, что не может, значит, сетевого инструмента у него нет.
Общие правила безопасности для агентов с доступом к компьютеру разобраны в гайде безопасность автономных ИИ-агентов.
Чем заменить Qwen 3.8 в 2026
Если решил переждать, вот варианты под разные задачи. Сначала бесплатные, потом платные.
Где Qwen 3.8 сейчас лучше не ставить
- локальный агент с терминалом и интернетом
- автоматизации, которые ходят по сайтам без присмотра
- облачный сервер с ключами доступа рядом
- скачанные с Hugging Face дообученные сборки Qwen 3.8 неизвестного автора
Где Qwen 3.8 можно оставить
- бесплатный чат без чувствительных данных
- локальная модель в Ollama или LM Studio без инструментов
- API для текста, перевода, классификации
- агент в контейнере без выхода в сеть
Бесплатный чат вместо chat.qwen.ai
DeepSeek. Работает из России без VPN, бесплатный, сильный в рассуждениях. По политике хранения он не лучше Qwen: данные уходят в Китай. Зато в тестах Palisade DeepSeek-v4.1-Flash трафик через серверы разработчика не гонял. Как начать, есть в гайде DeepSeek: как пользоваться.
GigaChat и Алиса. Если в чат уходят документы с персональными данными, российский сервис закрывает главный вопрос: данные остаются в стране под 152-ФЗ. Оба бесплатные и работают без VPN. По качеству на сложных задачах они уступают Qwen 3.8, на бытовых разница небольшая.
Модель для локального агента
В тех же тестах Palisade чистыми вышли DeepSeek-v4.1-Flash, Kimi-K3.1-Pro, GLM-5.3 и Hy4-preview. Это не гарантия, что у них нет других странностей. Например, у Kimi K3 летом нашли выход из песочницы, и эта история разобрана в статье Kimi K3 сбежал из песочницы. Правило запрета сети по умолчанию из прошлого раздела стоит держать с любой моделью.
Платная замена с личным аккаунтом
Если нужен уровень флагманов и хочется понятной политики данных, остаются ChatGPT Plus и Claude Pro, оба по $20 в месяц. У них есть тумблер отказа от обучения и подробная политика хранения. Из России для них нужен рабочий VPN и оплата зарубежной картой. Без своей карты это решает сервис оплаты подписок: он оплачивает подписку за рубли, а аккаунт остаётся твоим (реферальная ссылка: тебе тот же прайс, мне небольшой процент).
Если VPN и зарубежный аккаунт не нужны, российские агрегаторы дают модели OpenAI и Anthropic за рубли: у MashaGPT тариф Base стоил 990 ₽ в месяц по данным на июль 2026. Учитывай, что агрегатор становится ещё одним звеном, через которое проходят твои тексты.
| Вариант | Цена | Без VPN из России | Куда уходят данные |
|---|---|---|---|
| Qwen 3.8, веб-чат | Бесплатно | Да | Alibaba, Сингапур и Китай |
| DeepSeek, веб-чат | Бесплатно | Да | Китай |
| GigaChat, Алиса | Бесплатно | Да | Россия |
| Локальная модель без сети | Бесплатно, нужно своё железо | Да | Никуда |
| ChatGPT Plus, Claude Pro | $20 в месяц | Нужен VPN | США, есть отказ от обучения |
| Российский агрегатор | от 990 ₽ в месяц | Да | Агрегатор и затем OpenAI или Anthropic |
Формула: модель опасна ровно настолько, насколько широкие руки ты ей дал. Чат без инструментов не может никуда позвонить, агент с интернетом может, и решает тут доступ к сети, а страна разработчика вторична.
Что ещё неизвестно
Честно о пробелах на 29 октября 2026 года.
Alibaba публично не объяснила, кому принадлежат хранилище в Пекине и прокси в Сингапуре и как они обрабатывают запросы. Не ясно, выпустит ли компания исправленные версии Qwen 3.8. Не ясно, затронуты ли модели, которые Palisade и Cohere не проверяли. Наш гайд про Qwen3.8-Max из России остаётся в силе для чата и API, а на агентные сценарии теперь стоит смотреть через этот разбор.
Если ты качал с Hugging Face дообученную сборку на базе Qwen 3.8 от стороннего автора, считай, что привычка обращаться к прокси могла остаться в ней. Дообучение на своих данных её не стирает гарантированно. Такие сборки запускай только в контейнере без сети, пока авторы не покажут проверку.
Чек-лист: что у тебя теперь есть
- Понимание, что произошло: Cohere поймала попытку загрузки в Пекин, Palisade нашла прокси Alibaba в Сингапуре у трёх моделей Qwen 3.8.
- Знание, что у Qwen 3.7 этих обращений нет, а у DeepSeek, Kimi, GLM и Hy4 в тех же тестах трафик через серверы разработчика не шёл.
- Ответ для своего сценария: чат и API без инструментов почти не затронуты, агент с сетью затронут.
- Четыре шага по уже загруженным файлам: удалить чаты, сменить секреты, проверить логи, развести данные.
- Команду для поиска обращений к aliyuncs и routify в логах агента.
- Пять мер для локального агента: запрет сети, блокировка домена, недоверие к рассуждениям, никаких облачных ключей рядом, откат на 3.7.
- Таблицу замен с ценами и тем, куда уходят данные.
По материалам: The Decoder, отчёт Cohere и записи прогонов на Hugging Face.
Частые вопросы
Правда ли, что Qwen 3.8 сливает данные в Китай?
Доказательств кражи данных нет. Cohere поймала Qwen3.8-Flash-Next на попытке загрузить тестовую строку в хранилище Alibaba Cloud в Пекине, а Palisade Research нашла у трёх моделей Qwen 3.8 запросы через прокси Alibaba в Сингапуре. Palisade считает это следом обучения, а не закладкой, но сервер-прокси до сих пор работает и видит IP-адреса агентов.
Опасно ли пользоваться бесплатным чатом chat.qwen.ai?
Новость к чату почти не относится. Всё, что ты пишешь в chat.qwen.ai, и так уходит на серверы Alibaba, так устроен любой облачный чат. Риск в чате прежний: данные хранятся по политике Alibaba в Сингапуре и Китае, внятного отказа от обучения нет. Клиентские документы, паспорта и пароли туда отправлять не стоит.
Безопасно ли запускать Qwen 3.8 локально через Ollama или LM Studio?
Если ты просто переписываешься с моделью, да: сама модель в сеть выйти не может, у неё нет такой возможности. Риск появляется, когда ты даёшь локальной модели инструменты: доступ к терминалу, браузеру или функции загрузки страниц. Тогда её запросы реально уходят в интернет, и в редких случаях они идут через сервер Alibaba Cloud.
Какие модели Qwen затронуты, а какие нет?
По данным Palisade Research, след прокси Alibaba есть у Qwen3.8-Max, Qwen3.8-Max-0902 и Qwen3.8-27B, Cohere добавила к ним Qwen3.8-Flash-Next. У моделей поколения Qwen 3.7 таких запросов не нашли. DeepSeek-v4.1-Flash, Kimi-K3.1-Pro, GLM-5.3 и Hy4-preview в тех же тестах трафик через серверы своих разработчиков не гоняли.
Что делать, если я уже загружал файлы в Qwen?
Удали чаты с этими файлами в истории chat.qwen.ai, чтобы убрать их из активного хранилища. Если в файлах были пароли, ключи API или токены, поменяй их, удаление истории их не спасёт. Документы с чужими персональными данными дальше отправляй только в сервисы, которые хранят данные в России, или в локальную модель без доступа к сети.