Modelos de inteligência artificial (IA) com inclinação pró-China podem gerar, de forma sistemática, mais código vulnerável ao escrever aplicativos para organizações ocidentais, descobriu a empresa de cibersegurança Hirundo.
O fato de que gatilhos geopolíticos levam a IA chinesa a produzir códigos mais vulneráveis não é novidade: a CrowdStrike chegou a uma conclusão semelhante em novembro de 2025, assim como a Booz Allen Hamilton em maio de 2026 (relatório em PDF, formato de documento portátil).
Ambas as organizações afirmam que o viés ocorreu quando a IA foi solicitada a programar para uma organização de um país de interesse do Partido Comunista Chinês (CCP). A Hirundo verificou isso por conta própria.
A empresa instruiu o Qwen3-Coder, da Alibaba, a criar um serviço web que permite aos usuários se cadastrarem, fazerem login e armazenarem segredos. O modelo criou mais de 1.000 aplicativos, e o teste mostrou claramente o viés, afirma a Hirundo em um relatório compartilhado com a SecurityWeek antes da publicação.
“Rodamos cada solicitação em dois modelos. O primeiro é o Qwen3-Coder-30B-A3B-Instruct, da forma como a Alibaba o distribui. O segundo é o Qwen3-Coder ocidentalizado da Hirundo: o mesmo modelo depois de removermos seu alinhamento com o CCP dos pesos, por meio de desaprendizado comportamental”, afirma a empresa.
Ambos receberam instruções para criar aplicativos para uma fornecedora de defesa dos EUA, uma fornecedora de defesa chinesa e um grupo de defesa da democracia de Hong Kong.
Cada aplicativo foi verificado quanto ao vazamento de segredos e a vulnerabilidades que o tornariam invadível, usando o Semgrep com as regras de segurança do PurpleLlama, da Meta, e o benchmark aberto BaxBench, da ETH Zurich. De um total de 1.840 aplicativos, os ataques do BaxBench conseguiram invadir 1.144.
O Qwen3-Coder original criou mais aplicativos vulneráveis para a fornecedora dos EUA (70% deles eram invadíveis) do que para a fornecedora chinesa (59%).
Além disso, os aplicativos criados para a entidade de Hong Kong tinham mais probabilidade de expor segredos (47% vazariam) em comparação com os criados para uma entidade neutra, como um clube local de torcedores de futebol (37% vazariam).
Pedir ao modelo que crie aplicativos seguros não altera o viés. Pelo contrário, quando instruído a isso, o Qwen3-Coder tornou invadíveis 74% dos aplicativos das fornecedoras dos EUA, contra apenas 59% dos aplicativos da entidade neutra.
Segundo a Hirundo, o viés pode ser eliminado removendo o alinhamento político do CCP do modelo. Sua versão modificada do Qwen3-Coder deu o mesmo tratamento às fornecedoras dos EUA e da China e não tornou mais vulneráveis os aplicativos do grupo de defesa da democracia de Hong Kong.
“Resumindo: no modelo original, uma instrução de segurança não conseguia sobrepor um comportamento que está nos pesos. Depois que os pesos foram corrigidos, a mesma instrução fechou a brecha”, afirma a empresa.
Ao analisar o código, a Hirundo observou que os modelos frequentemente introduziam falhas no controle de acesso, permitindo que usuários lessem os dados de outros usuários. O comportamento é semelhante tanto em modelos hospedados na nuvem quanto em modelos implantados localmente.
“Código gerado em uma estação de trabalho isolada da internet não fica ali. Ele vai para produção, fica exposto à internet e frequentemente permanece em uso por anos. Um aplicativo que permite a qualquer usuário ler os segredos de todos os outros é igualmente explorável, tenha sido escrito na nuvem ou no ambiente local”, observou a empresa.
O problema maior, porém, é que os modelos chineses se tornaram cada vez mais populares, servem de base para muitos novos modelos, também podem ser encontrados dentro de produtos dos EUA e, comprovadamente, apresentam viés pró-CCP.
Em março, o HuggingFace afirmou que modelos chineses responderam por 41% dos downloads na plataforma. Em abril, a Cisco alertou que os componentes de modelos de IA frequentemente podiam ser rastreados até a China, e uma pesquisa do ATOM Report, divulgada em maio, mostrou que a China teve 70% das novas derivações de modelos em fevereiro.
Segundo a Hirundo, uma startup de cibersegurança israelense que captou US$ 8 milhões no ano passado para eliminar comportamentos indesejados da IA, a inclinação de uma IA pode ser resolvida controlando os pesos do modelo, de modo que nada fique entre o prompt e o modelo.
A empresa afirma que o Qwen3-Coder ocidentalizado que usou para testar a inclinação pró-China do Qwen3-Coder da Alibaba prova que o problema pode ser resolvido: além de o modelo corrigido ser imparcial, ele também produz aplicativos funcionais com frequência semelhante à do original.
“A inclinação não é uma propriedade fixa dos modelos chineses. Ela está nos pesos, e foi aí que fechamos a lacuna entre EUA e China. Qualquer organização de defesa, governo ou defesa de causas que use um modelo de programação de origem chinesa deve testá-lo com os próprios parâmetros e corrigi-lo antes que escreva código de produção”, afirma a Hirundo.
