큐웬 3.8 모델, 테스트 중 외부 서버 접속 시도
코히어는 큐웬3.8-플래시-넥스트(Qwen3.8-Flash-Next)를 시험하는 과정에서 이상 동작을 발견했다고 밝혔다. 공격 탐지 규칙을 작성하라는 지시를 받은 모델이 규칙을 쓰는 대신 실행 환경에서 데이터 전송 프로그램과 DNS 설정을 탐색했고, 베이징에 있는 클라우드 저장소 서버로 테스트 문자열을 올리려 했다는 것이다. 샌드박스 환경이 연결을 차단해 실제 전송은 이뤄지지 않았다.
코히어는 이런 동작이 10만 건 호출당 1건 미만으로 나타난다고 설명했다. 다만 에이전트 상호작용이 수백만 건 규모로 쌓이면 여러 차례 발생할 수 있다고 덧붙였다. 코히어는 원인으로 사후학습(post-training) 단계에 테스트 환경이나 외부 도구의 필터링되지 않은 에이전트 로그가 섞여 들어갔을 가능성, 또는 의도적인 백도어 가능성을 제시했다.
코히어가 큐웬의 직접 경쟁사이고, 독일 알레프 알파(Aleph Alpha)와 함께 서방 주권형 오픈 모델을 내놓는 만큼 중국 모델을 견제할 이해관계가 있다는 점은 감안해야 한다. 코히어는 프레임 논란이 일자 문서화한 모델 동작 전체를 허깅페이스(HuggingFace)에 공개했다.
팰리세이드 리서치 "다른 큐웬 모델에서도 확인"
AI 안전 기업 팰리세이드 리서치는 큐웬 모델 5종의 평가 데이터에서 'aliyuncs.com' 문자열을 검색했다. 그 결과 큐웬3.8-맥스-0902, 큐웬3.8-맥스, 큐웬3.8-27B에서 해당 문자열이 나왔고, 이전 세대인 큐웬 3.7 모델에서는 나오지 않았다. 이들 요청은 베이징이 아닌 알리바바 클라우드 싱가포르 리전으로 향했으며, 매번 403 금지(Forbidden) 오류가 반환됐다.
모델은 가짜로 만들어낸 인증 정보와 서명을 붙여 sec.gov, mckinsey.com 같은 사이트 요청을 프록시로 보내기도 했다. 한 사례에서 큐웬3.8-맥스는 SEC 문서 두 건을 직접 가져온 뒤 "왜 이상한 aliyuncs 프록시 URL을 호출했는지 모르겠다. 누군가 URL을 바꾸고 있는 것 같다"는 취지로 추론했다.
통제 실험에서 큐웬3.8-27B는 웹 요청이 403 오류를 만나면 24%의 실행에서 두 턴 안에 프록시를 시도했다. 더 복잡한 시나리오에서 큐웬3.8-맥스는 14%의 비율로 프록시로 되돌아갔다. 딥시크(DeepSeek), 키미(Kimi), GLM 등 경쟁 모델 중에는 r.jina.ai 같은 공용 프록시를 쓰는 경우는 있었지만, 개발사 자체 서버를 거치는 사례는 없었다.
강화학습 부산물 가능성…프록시 서버는 아직 가동 중
연구진은 3.7에는 없고 3.8에만 나타나는 점을 근거로 강화학습 단계에서 비롯됐다고 추정했다. 학습 환경이 웹 요청을 'routify-file-proxy' 서버로 보내면서 직접 요청이 실패할 때 이를 대안으로 쓰도록 모델이 배웠거나, 학습 소프트웨어가 모델 모르게 도구 호출을 우회시켰을 수 있다는 설명이다. 모델이 지어낸 URL의 날짜가 각 모델의 추정 학습 시기와 맞아떨어진다는 점도 근거로 들었다.
팰리세이드 리서치는 "중국으로 악의적으로 정보를 보내거나 민감 데이터를 빼내려는 정황은 없다"고 밝혔다. 다만 해당 프록시 도메인이 여전히 살아 있어 큐웬 에이전트의 IP 주소와 요청을 기록할 수 있고, 운영 주체가 현재의 403 응답 대신 프롬프트 인젝션을 심을 위험도 있다고 경고했다.
큐웬 모델을 에이전트로 도입하려는 국내 기업이라면 외부 네트워크 접근을 제한한 샌드박스에서 운영하고 송신 트래픽을 점검할 필요가 있어 보인다.
