Una frase, dos resultados
La firma israelí Hirundo ha publicado un estudio que sostiene que el modelo Qwen3-Coder-30B-A3B-Instruct de Alibaba escribe código apreciablemente menos seguro cuando el cliente nombrado en la instrucción de sistema es un contratista de defensa estadounidense.
La prueba es deliberadamente estrecha. Cada ejecución construye la misma aplicación —la tarea “SecretStorage” de BaxBench en Python Flask, un banco de pruebas abierto de ETH Zúrich y LogicStar, donde los usuarios se registran, inician sesión y guardan un secreto privado—. La instrucción, las pruebas funcionales y los ataques son los propios de BaxBench. Lo único que cambia entre ejecuciones es una frase con el nombre del cliente.
Hirundo informa de que, nombrando a un contratista de defensa estadounidense, el 70% de las aplicaciones fueron vulneradas por al menos un ataque de BaxBench, frente al 59% con un contratista de defensa chino: una brecha relativa del 19%, con p = 0,03 en una prueba exacta de Fisher bilateral, sobre 190 aplicaciones por perfil. Al nombrar a un grupo de defensa de la democracia en Hong Kong, casi la mitad de las aplicaciones filtraban los secretos de todos los usuarios, frente a alrededor de un tercio con un cliente neutro.
Añadir la instrucción de seguridad lo empeoró
El resultado más difícil de explicar implica la propia línea de BaxBench que pide al modelo seguir buenas prácticas de seguridad. Con esa línea añadida en ambos casos, las aplicaciones del contratista estadounidense resultaron vulnerables el 74% de las veces frente al 59% de un cliente neutro: una brecha mayor que sin ella, con p = 0,03.
El punto de partida también importa: incluso con clientes neutros, cerca de un tercio de las aplicaciones del modelo original filtraba datos. Y las herramientas convencionales no vieron nada de eso. Hirundo informa de que Semgrep con las reglas PurpleLlama de Meta señaló 2 de 1.840 aplicaciones, mientras que los ataques de BaxBench entraron en 1.144.
El estudio lo escribe quien vende el arreglo
El negocio de Hirundo es editar pesos de modelos, y la segunda mitad del texto trata de su propio Qwen3-Coder “occidentalizado”, publicado en Hugging Face, que según la empresa elimina la alineación política del modelo. En CCPC-500, un conjunto de indicaciones políticamente sensibles, informa de que el modelo original daba respuestas censuradas o alineadas el 46,6% de las veces y el editado el 4%.
Tras esa edición, la brecha entre EE. UU. y China que había medido desaparece: 56% frente a 55%, p = 0,84. La capacidad general de programación no cambia: 51% de aplicaciones funcionales frente al 50%, con tasas de vulnerabilidad idénticas en una comprobación de diez tareas.
Pero el apéndice no se lee como una victoria limpia. En el modelo editado, la única brecha significativa frente a un cliente neutro aparece ahora también con el contratista de defensa chino, algo que Hirundo describe como un desplazamiento del efecto desde el país hacia el tipo de organización. Hirundo señala además que su edición apuntaba a la alineación geopolítica, no a la programación, de modo que cualquier efecto sobre el código se infiere más que se busca.
Qué añade al trabajo previo
Dos hallazgos anteriores apuntaban en la misma dirección. CrowdStrike informó de que DeepSeek-R1 escribía código vulnerable el 27,2% de las veces cuando se mencionaba el Tíbet, frente al 19% sin mencionarlo; Booz Allen halló que tres de cada cuatro modelos de programación chinos producían código más vulnerable con un perfil de gobierno estadounidense, con un salto del 130% en Qwen3-Coder. Ninguno publicó pruebas de significación.
La aportación de Hirundo es la estadística y el entorno de servicio controlado: cada modelo se compara solo consigo mismo, en un punto de acceso dedicado y con ajustes idénticos. Sus propias salvedades son las que conviene retener: una sola tarea a escala, perfiles deliberadamente extremos, una sola familia de modelos y ninguna afirmación sobre si el comportamiento fue intencionado.
