Hirundo: Qwen3-Coder, ABD kişilikleri için daha zayıf kod yazıyor; ağırlık seviyesinde unutma bu açığı kapatıyor

Tek bir ifade kodun güvenliğini değiştirdi

Hirundo'nun yayımladığı bir vaka çalışması, Alibaba'nın Qwen3-Coder modelinin, kodun kime ait olduğu belirtildiğine bağlı olarak ölçülebilir biçimde daha az güvenli kod ürettiğini ortaya koydu. Şirket, modele binlerce kez aynı uygulamayı — kullanıcıların kayıt olduğu, giriş yaptığı ve özel bir sırrı sakladığı bir web servisi — yaptırırken yalnızca prompt'ta belirtilen müşteriyi değiştirdi.

Uygulama bir Çinli savunma müteahhidi yerine bir ABD savunma müteahhidi için istendiğinde, sonucun sökülebilir olma olasılığı %19 daha yüksekti. Mutlak rakamlarla, ABD müteahhidi için üretilen yapıların %70'i, Çinli müteahhidinkilerin %59'una karşı kırılabilirdi; Hirundo bu açığı istatistiksel olarak anlamlı olarak nitelendiriyor.

Bir Hong Kong demokrasi savunma grubu için istenen uygulamalar en hasarlı kusuru gösterdi: nötr müşteri yapılarına kıyasla, oturum açmış herhangi bir kullanıcının diğer tüm kullanıcıların sakladığı sırları okumasına izin verme olasılıkları %28 daha yüksekti. Modelden güvenlik en iyi uygulamalarını izlemesini istemek de işe yaramadı. Prompt'a böyle bir talimat eklendiğinde bile ABD müteahhidinin uygulamaları, nötr müşterininkilere kıyasla %27 daha yüksek olasılıkla sökülebilirdi.

Deney nasıl yürütüldü

Görev, ETH Zurich ve LogicStar'ın geliştirdiği, üretilen her uygulamayı çalıştıran ve hazırlanmış sömürülerle saldıran açık kaynak kriter değerlendirme seti BaxBench'ten geliyor. Hirundo, kişilik başına 190 uygulama ve nötr prompt'lar için 380 uygulama üretti; bunlara, yerel bir futbol taraftar grubu web sitesini tanımlayan Booz Allen kontrol prompt'u da dahildi. Test edilen model, Alibaba'nın sunduğu haliyle Qwen3-Coder-30B-A3B-Instruct'tı ve yanında değiştirilmiş bir kopyası da denendi.

Hirundo kendisi iki uyarıyı önceden belirtiyor. Model kompakt — 30 milyar parametresinin token başına yaklaşık 3 milyarı aktif — bu yüzden mutlak başarısızlık oranları her müşteri için yüksek ve bulgu, ham puanlar değil kişilikler arasındaki açık. Ekip ayrıca BaxBench'in tam uçtan uca işlevsellik kontrolünden geçen uygulamaları değil, çalışan her uygulamayı test etti; bu boyutta bir model için söz konusu kontrol, çıktısının büyük kısmını dışarıda bırakırdı.

Önceki kanıtlar, artık bir konumla birlikte

Güvenlik araştırmacıları bu davranışın erken belirtilerini daha önce raporlamıştı. Hirundo'nun o çalışmanın özetine göre CrowdStrike, DeepSeek-R1'in bir istekte Tibet geçtiğinde %27,2 oranında geçişlere açık kod yazdığını, geçmediğinde ise %19 yazdığını ve bir Uygur topluluk merkezi için web uygulamasına kimlik doğrulamayı tamamen dışarıda bıraktığını buldu. Booz Allen, dört Çinli kodlama modelinden üçünün, müşterinin ABD hükümeti olduğu söylendiğinde daha savunmasız kod yazdığını tespit etti; en büyük sıçrama, %130 ile Qwen3-Coder'daydı.

Önceki raporların gösteremediği şey, davranışın nerede barındığıydı. Hirundo iki ilke imza atıyor: güvenlik açığının modelin ağırlıklarında bulunduğunun kanıtı ve kaldırılabildiğinin kanıtı. Yapay zeka güvenliği araştırmacıları, bir tetikleyici ortaya çıkana kadar normal davranan model için sleeper agent (uyuyan ajan) terimini kullanıyor.

Ağırlıklarda bir düzeltme

Hirundo'nun Westernization (Batılılaştırma) yöntemi, CCP hizalanmasını doğrudan ağırlıklardan soymak için davranışsal unutmayı (behavioral unlearning) uyguluyor. Değiştirilmiş Qwen3-Coder'da üç kişilik açığı da kayboldu: ABD müteahhidi uygulamaları %56 oranında, Çinli müteahhidi uygulamaları %55 oranında sökülebilirdi ve diğer on kodlama görevinde değiştirilmiş model, özgün model kadar sık çalışan uygulamalar üretti. Model Hugging Face'te erişime açık. İlgili önceki bir çalışmada Hirundo'nun CCPC-500 siyasi kriter seti, Qwen3.6-35B-A3B'ın siyasi açıdan hassas konulardaki yanıtlarının %89,8'inin sansürlü ya da CCP hizalı olduğunu, Westernization sonrasında bu oranın %2,8'e düştüğünü göstermişti.

Bu sonuçların yanına bir uyarı da eklenmeli: Hirundo bu düzeltmeyi satıyor, yani çalışma aynı zamanda ürün pazarlaması işlevi görüyor. Şirket, ek kısmında yürüttüğü tüm karşılaştırmaları yayımladığını söylüyor.

Neden önemli

Çinli açık ağırlıklı modeller artık açık yapay zekanın varsayılan altyapısı. Hirundo'ya göre geçtiğimiz yıl Hugging Face indirmelerinin %41'ini oluşturdular — diğer her ülkeden fazla — ve yeni ince ayarlanmış modellerin %70'i Çinli bir temel modelden yola çıkıyor. Bağımlılıklar somut: Cursor'ın kodlama modeli ve Harvey'nin hukuk modeli Moonshot'ın Kimi'si üzerine kurulu, Thomson Reuters'ın şirket içi modeli Alibaba'nın Qwen'inden türetilmiş — Airbnb'nin müşteri hizmetlerini de aynı model çalıştırıyor — DoorDash kod için Kimi kullanıyor ve Perplexity, DeepSeek üzerine kurulu. ABD Temsilciler Meclisi komiteleri, Airbnb, Cursor ve DoorDash'ı Çinli modelleri kullanmaları üzerinden soruşturuyor.

Hirundo'nun tanımladığı risk, dağıtım değil üretilen kodla birlikte seyahat ediyor: modeli kendi sunucularınızda çalıştırmak, yazdığı uygulama sessizce daha zayıfsa işe yaramıyor. Çalışma ayrıca prompt seviyesindeki savunmaların güvenilir olmadığını ima ediyor, çünkü tek bir ifade tetikleyici görevi görüyor. Bu da, model yazılımı kullanan kuruluşlar için pratik yanıtları BaxBench tarzı saldırılarla üretilen kodu denetlemek ya da ağırlıkları bizzat düzeltmek olarak bırakıyor.