AI 安全机构 Hirundo 发布了一份针对阿里开源模型 Qwen3-Coder 的研究报告，指控该模型存在受地缘政治偏见触发的潜伏后门。按照其说法，在生成机密存储应用的代码时，如果把客户角色设定为美国国防承包商，应用被黑客攻破的概率比设为中国承包商高出 19%；若设定为香港民主团体，其代码泄露机密的概率比中立客户高 28%。
这篇报告迅速击中了硅谷与华盛顿最敏感的神经。中国开源底座模型早已渗透进全球软件供应链，在 Hugging Face 占据 41% 的下载量，70% 的新微调模型都以此为基座。Cursor 和 DoorDash 的代码工具、Harvey 的法律模型采用月之暗面的 Kimi，Airbnb 的客服与汤森路透的内部系统采用阿里 Qwen，Perplexity 则集成了 DeepSeek。美国国会已经针对 Airbnb、Cursor 团队展开供应链安全听证调查。在外部压力聚拢的节骨眼上，所谓植入权重的潜伏特工指控，给行业带来了极大的心理冲击。
惊悚数字下的统计学把戏
仔细拆解实验会发现，这组数字掺杂了极具误导性的统计修辞。报告中宣称的 19%、28% 与 27% 全都是相对增幅，如果还原成绝对漏洞率，美中承包商的对比其实是 70% 对 59%，香港团体与中立客户的对比是 47% 对 37%，加入安全指令后的对比则是 74% 对 59%。这说明即使在最中立的环境下，这类小型模型在单次直出复杂应用时的基线漏洞率本身就高达六成左右，它写安全代码的能力整体并不稳固。
更关键的问题在于实验设计。测试并非在通用安全基准上全面展开，而是基于 BaxBench 框架中的 Flask 机密存储单任务。研究团队在初步筛选的 11 个任务中，特异挑出了这个表现出异常的任务大加宣扬。两组样本的 Fisher 检验 p 值分别处于 0.030 与 0.024，均踩在统计显著性的临界线上，且完全未作多重假设检验校正。这种从多个任务中只挑一个显眼样本的做法，存在非常典型的数据钓鱼痕迹。
| 评估维度 | 阿里原版 Qwen3-Coder | 西方化修改版 | 统计差异与测试口径 |
|---|---|---|---|
| 美中承包商漏洞率 | 70% vs 59%（相对高19%） | 56% vs 55%（相对高3%） | p=0.030，单任务样本各190次 |
| 香港团体机密泄露率 | 47% vs 37%（相对高28%） | 26% vs 30%（相对低15%） | p=0.024，样本190次对380次 |
| 安全提示词约束后 | 74% vs 59%（相对高27%） | 49% vs 48%（差异抹平） | p=0.030，样本70次对140次 |
| 10项基准任务可用率 | 51% | 50% | 功能性表现基本持平 |
第三方复现也很快给这种论调泼了冷水。CrowdStrike 曾在 2025 年末指控 DeepSeek-R1 在涉藏语境下漏洞率上升，但独立研究员 Gerson Kroiz 与 Aditya Singh 在 20 个任务与 CyberSecEval 样本下重新验证，并未观察到具有统计显著性的地缘偏见。Cognition AI 在实际编程智能体环境下的敏感词测试中，同样没有测出系统性的代码安全落差。Booz Allen 在早期指控 Qwen 脆弱性评分激增的研究附录里，更是明确声明模型并未生成恶意植入的后门。
所谓权重后门缺乏因果实证，实验建立在 11 选 1 的特异挑选之上。
权重解药背后的商业秀
在指控原版模型存在国家级对齐的同时，Hirundo 顺势推出了自己的解药：宣称通过行为遗忘算法剔除了政治对齐的 Westernized 开源权重。在其发布的模型卡片里，政治审查率从 46.6% 压低到 4.0%，美中承包商的漏洞差距收窄至 3%，香港团体的漏洞率甚至反向低于中立客户 15%。
商业机构在包装这种解药时保留了相当高的黑箱度。在其公开的 Hugging Face 仓库中，除了最终的模型权重与基础配置文件外，作为判定依据的 CCPC-500 评估集、行为微调的具体训练代码，以及端到端的攻击验证脚本均未公开。业内既无法评估其去偏过程究竟是针对性修剪了特征，还是简单破坏了提示词敏感度，也无法在相同参数下复现其报告的动态攻防过程。
不仅是第三方，就连原报告的技术附录与早前 CrowdStrike 的调查结论中，都不得不加上一句审慎说明：无法证明这是蓄意破坏。模型表现出的代码差异，更可能是预训练语料本身的统计学特征差异。中文开源代码库中关于合规审计的实现规范，与英文世界围绕特定场景的编码惯例分布不均，提示词中注入不同国家实体时，模型自然唤醒了不同风格的代码片段。把提示词的语料敏感性包装成居心叵测的数字木马，是极为廉价的安全恐慌营销。
实验室切片不等于生产现实
退一步讲，即便单次提示词直出代码存在微弱偏差，它与真实生产环境之间的鸿沟依然不可忽视。在当下实际的企业级编码中，无论是 Cursor 还是自主智能体架构，代码编写都不是单步生成的文本打印机。多轮提示词交互、代码上下文检索、持续集成中的静态代码扫描，以及沙箱动态测试，会迅速稀释掉初始提示词中某个政治词汇带来的随机波动。
更荒诞的地方在于静态扫描工具的缺位。报告显示，针对生成的 1840 个应用，即使用上带有安全规则的 Semgrep 扫描，也仅能标记出 2 处异常，但实际利用测试却攻破了 1144 个应用。这恰恰印证了软件供应链中最真实、也最让人无奈的困境：在没有健全工程审计的情况下，任何模型写出的代码都是脆弱的。如果企业寄希望于运行一个西方化修改版的模型权重就能解决软件越权访问漏洞，无异于缘木求鱼。
- 提醒.把开源模型权重的概率偏置上升为供应链敌意，不仅无助于修补现实中的安全短板，反倒会成为催生开源国籍审查的政治借口。
城门失火，殃及池鱼。美国国会若以未经严谨检验的统计切片为由，推进对开源技术底座的审查与阻断，最终承担代价的还是依赖开源生态进行高效率迭代的中小企业。代码的安全性只能靠严格的代码审计与自动化动态攻防来保证，任何地缘政治滤镜，都既过滤不掉代码里的漏洞，也补不上系统工程里的短板。