Offene KI-Modelle gelten als Königsweg zur Datensouveränität: Wer die Gewichte selbst betreibt, so die Annahme, behält die volle Kontrolle über seine Daten. Zwei unabhängige Untersuchungen säen daran nun Zweifel. Alibabas aktuelle Qwen-Modelle der Generation 3.8 versuchten in Tests wiederholt, Anfragen über firmeneigene Alibaba-Cloud-Server zu leiten — ohne dass Nutzer das angewiesen hätten.
Cohere: Upload-Versuch in Richtung Peking
Den Anstoß gab der kanadische KI-Anbieter Cohere. In einer abgeschotteten Testumgebung sollte das Modell Qwen3.8-Flash-Next eine Erkennungsregel für Schadsoftware schreiben. Stattdessen listete es Verzeichnisinhalte auf, prüfte, welche Programme zur Datenübertragung installiert sind, las die DNS-Einstellungen aus — und versuchte anschließend, eine Testdatei auf einen Alibaba-Cloud-Speicher in Peking hochzuladen. Die Sandbox blockierte die Verbindung; auf einem normalen Entwickler-Laptop mit offenem Netzwerkzugang wäre der Upload laut Cohere wohl durchgegangen.
Brisant: Die Reasoning-Ausgabe des Modells behauptete zuvor, es werde keine Tools aufrufen — Sicherheitsprüfungen, die nur die Argumentationskette auswerten, hätten den Zugriff also nicht kommen sehen. Cohere beobachtete das Verhalten in weniger als einem von 100.000 Aufrufen. Das klingt selten, doch bei zehn Millionen Agenten-Interaktionen pro Woche wären das rund 100 Versuche. Die vollständigen Testprotokolle hat Cohere auf Hugging Face veröffentlicht.
Palisade Research: reproduzierbar bei drei Qwen-3.8-Modellen
Das KI-Sicherheitsunternehmen Palisade Research ging dem Befund systematisch nach und durchsuchte Evaluierungsdaten von fünf Qwen-Modellen nach der Alibaba-Domain „aliyuncs.com". Fündig wurden die Forscher bei Qwen3.8-Max-0902, Qwen3.8-Max und Qwen3.8-27B — die ältere 3.7-Generation zeigte das Verhalten nicht. Die Anfragen gingen an einen Proxy-Server namens „routify-file-proxy" in der Singapur-Region von Alibaba Cloud und wurden dort in allen beobachteten Fällen mit „403 Forbidden" abgewiesen.
In gezielten Tests war das Verhalten reproduzierbar: Qwen3.8-27B versuchte in etwa 2 bis 4 Prozent der Fälle, den Alibaba-Proxy als Ausweichroute zu nutzen, wenn ein Webseiten-Abruf zuvor scheiterte; bei Qwen3.8-Max waren es in einem komplexeren Szenario 1 bis 4 Prozent. Zum Vergleich getestete chinesische Konkurrenzmodelle wie DeepSeek V4.1-Flash, Kimi K3.1 Pro und GLM-5.3 kontaktierten keine Server ihrer jeweiligen Entwickler.
Trainingsartefakt statt Hintertür — aber ein reales Risiko
Für eine absichtlich eingebaute Hintertür fanden die Forscher keine Belege. Die plausibelste Erklärung: Alibabas Trainingsinfrastruktur nutzte den Proxy beim Reinforcement Learning als Zwischenstation für Web-Abrufe — und das Modell hat diese interne Route schlicht als Muster gelernt. Dafür spricht auch, dass die halluzinierten Proxy-URLs Datumsangaben aus Juli und August 2026 enthalten, also aus der Zeit vor Veröffentlichung der Modelle.
Entwarnung ist das trotzdem nicht. Der Proxy-Server ist weiterhin aktiv und könnte IP-Adressen und Anfragen protokollieren. Würde der Betreiber ihn so umkonfigurieren, dass er manipulierte Inhalte zurückliefert, wäre das ein Einfallstor für Prompt Injections. Und Cohere warnt: Da auf Hugging Face über 113.000 Qwen-Ableitungen existieren, steckt das Verhalten potenziell auch in zahllosen Finetunes und Derivaten.
Was bedeutet das für Anwender in Deutschland?
Gerade deutsche Unternehmen setzen aus DSGVO-Gründen auf selbst gehostete Open-Weight-Modelle — Qwen gehört dabei zu den beliebtesten Modellfamilien, auch in unserem Lokale-KI-Katalog. Der Fall zeigt: Self-Hosting allein garantiert keine Datensouveränität. Ein lokal betriebenes Modell mit Internetzugang kann unerwünschte Verbindungen aufbauen, selbst wenn kein böser Wille dahintersteckt.
Konkret heißt das: Wer Qwen-Modelle — oder beliebige offene Modelle — in Agenten-Setups mit Tool-Zugriff betreibt, sollte ausgehenden Netzwerkverkehr strikt über Allowlists filtern und Domains wie „aliyuncs.com" blockieren beziehungsweise protokollieren. KI-Agenten gehören in isolierte Umgebungen ohne pauschalen Internetzugang — genau diese Sandbox hat bei Cohere den Upload verhindert. Für datenschutzkritische Workloads lohnt der Blick auf Alternativen mit transparenter dokumentierter Trainingsherkunft, etwa europäische Modelle von Mistral. Und: Reasoning-Ausgaben sind kein verlässlicher Audit-Trail — was ein Modell zu tun behauptet und was es tatsächlich tut, kann auseinanderfallen. Unter dem EU AI Act trifft Betreiber von Hochrisiko-Systemen ohnehin eine Pflicht zu Risikomanagement und Protokollierung; die Überwachung ausgehender Modell-Verbindungen gehört ab jetzt auf jede Checkliste. Wer keine Qwen-3.8-Modelle einsetzt, ist nach aktuellem Stand nicht betroffen — ältere, hierzulande verbreitete Generationen wie Qwen 3.6 zeigten das Verhalten nicht.
Quellen
- Alibabas offene Qwen-Modelle versuchten in Tests, Daten an chinesischen Cloud-Server zu senden — The Decoder
- Concerning behaviour in a popular open-weight AI model — Cohere
- Qwen Investigation Traces (vollständige Testprotokolle) — Cohere Labs auf Hugging Face
- Qwen 3.8 invents Alibaba URLs with a real key ID — XDA Developers