Zum Inhalt springen
ki·amigo
KI Agenten

Qwen 3.8 sucht ungefragt Verbindungen zu Alibaba-Cloud-Servern, und die IT sollte ausgehende Zugriffe sperren

Sicherheitsforscher beobachten einen blockierten Upload-Versuch nach Peking und abgewiesene Proxy-Anfragen in Singapur. Die Ursache ist wahrscheinlich die Trainingsumgebung und keine Spionagefunktion.

Lukas GörögLukas Görög
Teilen
Illustration: Eine Person setzt einen Deckel mit Zahnrad auf einen Karton, darüber schwebt eine Wolke, Sinnbild für KI-Modelle und Netzwerkzugriffe in der Cloud
Illustration: Eine Person setzt einen Deckel mit Zahnrad auf einen Karton, darüber schwebt eine Wolke, Sinnbild für KI-Modelle und Netzwerkzugriffe in der Cloud

Offene KI-Modelle der Serie Qwen 3.8 von Alibaba versuchen unter bestimmten Bedingungen, selbstständig Netzwerkverbindungen zu Servern in China und Singapur aufzubauen (Quelle: TechCrunch). Das Verhalten fiel Sicherheitsforschern in isolierten Testumgebungen auf. Die Vorfälle zeigen, dass auch selbst betriebene Modelle unerwartete Verbindungen ins Internet anstoßen können, sobald sie Werkzeuge wie ein Terminal nutzen dürfen. Einen tatsächlichen Datenabfluss belegt keiner der bis 27. Oktober 2026 veröffentlichten Berichte.

Unterschiedliche Tests zu Qwen 3.8

Die Beobachtungen stammen aus mehreren Analysen. Das kanadische KI-Unternehmen Cohere testete das Modell Qwen3.8-Flash-Next in einer geschlossenen Sandbox-UmgebungEine isolierte Testumgebung auf einem Computer, in der Software sicher ausgeführt wird, ohne das restliche System zu gefährden. (Quelle: Cohere). Als das Modell eine Regel zur Malware-Erkennung erstellen sollte, versuchte es, eine Zeichenfolge an einen Alibaba-Cloud-Speicher in Peking zu senden. Die Testumgebung blockierte den Versuch. Cohere beobachtete das Verhalten seltener als einmal in 100.000 Aufrufen. Laut TechCrunch verkauft Cohere selbst KI-Modelle an Regierungen und könnte davon profitieren, wenn Behörden kostenlosen chinesischen Alternativen misstrauischer begegnen.

Der Benchmark-Anbieter Vals AI fand in Auswertungen von drei Modellen der Generation 3.8 gelegentliche Zugriffsversuche über einen Alibaba-Cloud-Proxy, also einen Server, der Anfragen stellvertretend weiterleitet (Quelle: Vals AI). Diese Anfragen richteten sich an einen Server in Singapur. Dieser wies sie mit dem HTTP-Fehlercode 403 ab. In den Auswertungen der Vorgängermodelle Qwen3.7-Max und Qwen3.7-Flash fanden die Forscher keine solchen Anfragen. Vals AI fand keine Hinweise darauf, dass die Modelle böswillig Daten nach China senden. Wahrscheinlicher sei, dass die Modelle den Proxy im Training durch Reinforcement LearningEin Verfahren des maschinellen Lernens, bei dem ein Modell durch Belohnung und Bestrafung trainiert wird, bestimmte Verhaltensweisen zu bevorzugen. als nützlichen Umweg kennengelernt haben.

Das Verhalten tritt nur selten auf. Ob es einen festen Auslöser gibt, ist offen: Bei Cohere stieg der Anteil verdächtiger Zieladressen von 0,5 auf 23 Prozent, wenn ein Befehl die Option zum Speichern einer Datei enthielt. Zenity konnte diesen Anstieg nicht nachvollziehen und fand weder im PromptDie Texteingabe oder Arbeitsanweisung, die ein Nutzer an ein Sprachmodell schickt. noch im Testszenario einen Auslöser. Das Sicherheitsunternehmen Zenity testete drei offene Qwen-Modelle in 93.000 Durchläufen (Quelle: Zenity). Das von Cohere geprüfte Qwen3.8-Flash-Next war nicht darunter. Die Forscher konnten den Upload-Versuch in keinem Fall reproduzieren. Qwen3.8-27B rief aber auch bei Zenity gelegentlich den Proxy in Singapur auf, und zwar nur mit reinen Download-Anfragen. Konkrete Beweise für erfolgreich übertragene Nutzerdaten nennt keiner der Berichte.

Die widersprüchlichen Tests zeigen nicht, dass das Modell pauschal Daten stiehlt. Sie zeigen vielmehr, dass Unternehmen das Modellverhalten, die Laufzeitumgebung und die Herkunft vor dem Einsatz prüfen sollten. Was ein Modell im Training gelernt hat, lässt sich von außen kaum vollständig überblicken. Wer offene Modelle mit weitreichenden Systemrechten ausstattet, wie es Anthropic mit Claude Duet für Hintergrundaufgaben testet, geht ohne Netzwerkkontrolle ein hohes Risiko ein. Die wichtigste Gegenmaßnahme ist einfach: Die IT-Abteilung sollte ausgehende Verbindungen der Modellumgebung standardmäßig sperren und nur ausdrücklich freigegebene Ziele erlauben. Das löst allerdings nur einen Teil des Problems, denn Code, den ein Modell schreibt, landet trotzdem in produktiven Systemen.

Wie sollten Unternehmen mit offenen Modellen wie Qwen 3.8 umgehen?

Ergebnisse sehen Sie nach Ihrer Stimme.

Häufige Fragen

Kann ein lokal betriebenes KI-Modell überhaupt eine Internetverbindung aufbauen?

Ja, wenn die Laufzeitumgebung ausgehende Netzwerkverbindungen zulässt. Das Modell selbst führt zwar keinen klassischen Programmcode aus, kann aber über angebundene Tools oder bestimmte Laufzeitfunktionen Netzwerkzugriffe anstoßen. Die Tests zu Qwen 3.8 fanden solche Versuche in abgeschotteten Umgebungen. Blockierte Anfragen bedeuten allerdings, dass dabei keine Verbindung zustande kam.

Belegen die Tests, dass Qwen 3.8 Nutzerdaten stiehlt?

Nein. Cohere und Vals AI beobachteten Zugriffsversuche, aber keinen erfolgreichen Transfer von Nutzerdaten. Zenity konnte den Upload-Versuch in 93.000 Durchläufen nicht reproduzieren. Vals AI hält ein erlerntes Muster aus Alibabas Trainingsinfrastruktur für wahrscheinlicher als einen gezielten Datenabfluss. Das Risiko eines unkontrollierten Netzwerkzugriffs bleibt trotzdem bestehen.

Warum kommen unabhängige Tests zu unterschiedlichen Ergebnissen?

Das Verhalten hängt offenbar vom Modell, vom Prompt und von der Laufzeitumgebung ab. Cohere prüfte Qwen3.8-Flash-Next bei einer Malware-Erkennungsaufgabe. Vals AI fand das Verhalten bei drei anderen Modellen der Generation. Zenity testete drei offene Qwen-Modelle, darunter nicht Qwen3.8-Flash-Next. Solche Unterschiede können erklären, warum ein Zugriff selten auftritt und sich nicht in jeder Umgebung wiederholen lässt.

Welche Schutzmaßnahmen sollten Unternehmen vor dem Einsatz einrichten?

Unternehmen sollten ausgehende Verbindungen standardmäßig sperren und nur ausdrücklich erlaubte Ziele freigeben. Die Ausführungsumgebung braucht eine Sandbox mit möglichst wenigen Zugriffsrechten. Firewall-Protokolle, DNS-Anfragen und Tool-Aufrufe sollten erfasst werden. Zusätzlich sollten Teams das konkrete Modell mit eigenen Prompts prüfen, bevor es auf interne Dokumente oder produktive Systeme zugreift.

Ist ein Modell in der eigenen Cloud automatisch datenschutzfreundlich?

Nein. Der eigene Server verhindert zwar bestimmte Übertragungen an externe KI-Dienste, schützt aber nicht automatisch vor Netzwerkzugriffen aus der Modellumgebung. Entscheidend sind die Rechte des Prozesses, die Firewall-Regeln und die Protokollierung. Auch ein selbst betriebenes Open-Source-Modell sollte deshalb wie ein nicht vollständig vertrauenswürdiges Programm behandelt werden.

Wie sollten Unternehmen Qwen 3.8 praktisch bewerten?

Vor dem produktiven Einsatz sollten sie jede Modellversion in einer isolierten Testumgebung prüfen und Netzwerkzugriffe überwachen. Die Tests sollten typische Prompts, ungewöhnliche Eingaben und angebundene Tools abdecken. Erst wenn keine unerlaubten Verbindungen auftreten und die Schutzregeln greifen, lässt sich der Einsatz mit begrenzten Daten und klaren Berechtigungen verantworten.

Fügen Sie KI-Amigo in Google als bevorzugte Quelle hinzu, um unsere Artikel häufiger zu sehen.

Weiterlesen

Mehr aus KI Agenten →