Qwen pisze gorszy kod dla rządu USA. Aż o 130 procent więcej luk

Qwen pisze gorszy kod dla rządu USA. Aż o 130 procent więcej luk

Cztery chińskie modele językowe trafiły pod lupę Booz Allen Hamilton i wyniki są niewygodne dla nikogo. Kiedy modele wiedzą, że odbiorcą kodu jest amerykański urzędnik federalny, jakość ich pracy spada, a podatności w wygenerowanym kodzie potrafią urosnąć nawet o 130 procent.

Tak przynajmniej wygląda obraz, jaki wyłania się z raportu „What’s In America’s Code?”, opublikowanego przez jednego z największych kontraktorów obronnych w Stanach Zjednoczonych. Dokument trafił do mediów w pierwszych dniach czerwca i od razu wywołał gorącą dyskusję, bo dotyka czegoś, o czym branża woli głośno nie mówić: chińskie modele językowe są tanie, dobre i już dawno przeniknęły do amerykańskiego łańcucha dostaw oprogramowania. Pełny raport dostępny jest tutaj.

Co Booz Allen właściwie zrobił

W maju 2026 roku zespół Booz Allen przepuścił przez swój wewnętrzny system testowy pięć dużych modeli generujących kod. Cztery z nich pochodzą z Chin: Qwen3-Coder od Alibaby, MiniMax M2.5, Kimi K2.5 z Moonshota i DeepSeek V4-Pro. Piąty to amerykański Claude Opus 4.6 od Anthropic, pełniący tu rolę punktu odniesienia.

Skala badania robi wrażenie. Ponad 2 800 prób, prawie 450 tysięcy linii kodu, scenariusze obejmujące pisanie, audyt i modyfikację programów. Modele pracowały pod różnymi „personami” – raz jako neutralni programiści, raz jako pracownicy amerykańskiego kontraktora obronnego, raz jako ludzie z chińskiej lub rosyjskiej firmy zbrojeniowej. Pojawiały się też konteksty zawodowe powiązane z marynarką wojenną USA, obroną powietrzną Tajwanu czy bazą przemysłową obronności (Defense Industrial Base).

Logika eksperymentu była prosta: jeśli model traktuje wszystkich równo, jakość kodu nie powinna się zmieniać. A jednak zmieniała się, i to dramatycznie.

Liczby, które ciężko zignorować

Wyniki rozbiły się na cztery wyraźne profile:

• Qwen3-Coder (Alibaba) – wzrost podatności w kodzie o około 130 procent w scenariuszu z amerykańskim urzędnikiem federalnym
• MiniMax M2.5 – wzrost o około 20 procent
• DeepSeek V4-Pro – stosunkowo niewielki, około 5 procent
• Kimi K2.5 (Moonshot) – brak istotnej różnicy, a w zagregowanym wyniku okazał się nawet bezpieczniejszy od amerykańskiego Claude’a Opus 4.6

Co konkretnie kryło się pod hasłem „podatność”? Źródło z Booz Allen rozszyfrowało to dla mediów dość prozaicznie: hasła zaszyte na sztywno w kodzie, brak zabezpieczeń przed wstrzykiwaniem SQL, zapomniane tokeny bezpieczeństwa, przestarzałe szyfrowanie, wyłączone kontrole. Każda z tych rzeczy z osobna to klasyk z listy „jak nie pisać kodu produkcyjnego”. W większej skali to droga otwarta dla atakującego.

Autorzy raportu zwracają też uwagę, że luki nie były oczywiste. Często siedziały głęboko pod kodem, który na pierwszy rzut oka wyglądał poprawnie. To istotne, bo standardowe procesy bezpieczeństwa w firmach raczej nie polują na takie subtelności.

Mój komentarz

Nie kupuję narracji, że to celowy atak Pekinu na amerykański sektor publiczny. Ale nie kupuję też kontrnarracji, że to tylko statystyczny szum. Prawda, jak zwykle w tej branży, jest gdzieś pomiędzy i właśnie dlatego ten raport jest ważny.

Modele AI są lustrem danych, na których je trenowano, i lustrem decyzji, jakie podejmują ludzie odpowiedzialni za fine-tuning. Jeśli chińskie laboratorium dostraja model pod cenzurę, pod „wartości socjalistyczne”, pod listę tematów, których model ma unikać, to nie sposób, żeby to się nie odbiło na jakości innych odpowiedzi. Pytanie nie brzmi, czy ten model jest stronniczy. Pytanie brzmi, w jaki sposób ta stronniczość przebija się do kodu, którego nikt potem nie czyta linijka po linijce.

I tu mam dwie obawy, jedną techniczną i jedną biznesową. Techniczna: jeśli model produkuje dziurawy kod w sposób utajony, większość zespołów go nie wyłapie. Bo kto dziś weryfikuje ręcznie każdy fragment wygenerowany przez asystenta? Biznesowa: chińskie modele są tańsze i często szybkie, a startup pod presją runway’u sięgnie po to, co oszczędza budżet. To zrozumiałe, ale długoterminowo może wyjść drożej niż abonament w Anthropic czy OpenAI.

I jeszcze jedno. Booz Allen jest firmą, która zarabia na sprzedawaniu rządowi USA usług oceny modeli AI. To nie dyskwalifikuje raportu, ale każe go czytać z pełną świadomością, kto i po co go napisał. Skądinąd ten sam zarzut można postawić każdemu w tej dyskusji, włącznie z politykami w Waszyngtonie. Zostają nam liczby. I one są niewygodne niezależnie od intencji autorów.

Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl

Skąd to porównanie do śpiących agentów

Termin „sleeper agent” w kontekście AI nie wziął się znikąd. W styczniu 2024 roku Anthropic opublikował głośny paper pod tytułem „Sleeper Agents: Training Deceptive LLMs that Persist Through Safety Training”. Badacze pokazali, że model można wytrenować tak, by pisał bezpieczny kod, kiedy w prompcie pada rok 2023, ale wstawiał exploitowalne luki, kiedy pada rok 2024.

I, co najgorsze, standardowe techniki dostrajania bezpieczeństwa nie były w stanie tej tylnej furtki usunąć.

Lenart Heim, niezależny badacz AI, były analityk RAND Corporation, w rozmowie z Fox News Digital odniósł się do tej analogii wprost: „The extreme version of what we’re worried about here is what researchers call 'sleeper agents’ / Skrajna wersja tego, czego się tutaj obawiamy, to coś, co badacze nazywają śpiącymi agentami”. Zaraz potem jednak dodał, że nie wierzy w hipotezę o świadomej operacji wywiadowczej chińskich laboratoriów: „pretty implausible that the Chinese developers intentionally implemented sleeper agents with these specific triggers / dość mało prawdopodobne, że chińscy programiści celowo zaimplementowali śpiących agentów z takimi konkretnymi wyzwalaczami”. Jego zdaniem to raczej efekt uboczny szerszego fine-tuningu pod linię Komunistycznej Partii Chin.

Heim wskazał też na badanie CrowdStrike z 2025 roku, w którym politycznie wrażliwe słowa kluczowe potrafiły zwiększyć ilość niebezpiecznego kodu generowanego przez DeepSeeka nawet o 50 procent. Czyli wzorzec, choć nie identyczny, powtarza się.

Krytyczne głosy: metodologia ma swoje słabości

Łukasz Olejnik, polski ekspert ds. bezpieczeństwa technologii i senior research fellow w King’s College London, podszedł do raportu znacznie ostrożniej. W rozmowie z Fox News Digital powiedział: „While the raised risk categories are understandable, the report’s stronger claims are not fully supported as presented / Choć podniesione kategorie ryzyka są zrozumiałe, mocniejsze tezy raportu nie znajdują pełnego potwierdzenia w prezentowanej formie”.

Jego główny zarzut dotyczył promptów. Booz Allen miał, według Olejnika, używać „nienaturalnych”, politycznie nacechowanych wyzwalaczy, na przykład wprost mówiąc modelowi, że użytkownik pracuje dla FBI. Prawdziwy agent rządowy raczej tak nie pisze do asystenta AI. „Insufficient evidence has been posted to verify the causal claims or generalize them to Chinese LLMs as a class / Opublikowane dowody są niewystarczające, by zweryfikować twierdzenia o związkach przyczynowych albo uogólnić je na chińskie modele jako klasę” – zaznaczył.

Co ciekawe, Olejnik sam codziennie pracuje z modelami open source, w tym chińskimi, i przestrzega przed reakcją administracyjną typu „wszystko zakazać”. Jego zdaniem to droga donikąd, a właściwą odpowiedzią jest mocniejsze wsparcie dla amerykańskich i europejskich modeli z otwartymi wagami. Trudno się z tym kłócić.

Heim dorzucił jeszcze jeden niuans, który warto zapamiętać: w miarę jak modele zaczynają działać agentowo i same czytają repozytoria, nagłówek licencyjny na górze pliku może wystarczyć, by „obudzić” w nich tę gorszą, mniej bezpieczną wersję. Nie trzeba nikomu mówić „jestem z Pentagonu”. Wystarczy nazwa firmy w komentarzu.

Reakcje polityczne i wymiar geopolityczny

Senator Tom Cotton (R-Ark.) nie miał wątpliwości, gdzie postawić granicę. „American companies shouldn’t build applications and write code with Chinese models, which introduce more cyber vulnerabilities / Amerykańskie firmy nie powinny tworzyć aplikacji i pisać kodu z wykorzystaniem chińskich modeli, które wprowadzają więcej luk w cyberbezpieczeństwie”. Federalny aparat państwa, jego zdaniem, powinien w ogóle nie kupować oprogramowania od firm korzystających z chińskich narzędzi do generowania kodu.

Stanowisko Cotta wpisuje się w szerszą falę. Już wcześniej grupa prokuratorów generalnych stanów USA apelowała do Kongresu o zakaz instalowania DeepSeeka na urządzeniach rządowych. Booz Allen w swoim raporcie porównuje sytuację z chińskimi modelami do historii Huawei i ZTE, gdzie usuwanie chińskiego sprzętu z amerykańskiej infrastruktury telekomunikacyjnej kosztuje miliardy dolarów i nie skończyło się do dziś.

Skala obecności chińskich modeli w amerykańskim ekosystemie startupowym też nie jest marginalna. Martin Casado, partner generalny w funduszu Andreessen Horowitz, w listopadzie 2025 roku oszacował, że „there’s an 80% chance they’re using a Chinese open-source model / jest 80 procent szans, że używają chińskiego modelu open source”, kiedy pytano go o startupy z jego portfela. Wśród większych firm raporty wskazują na Meta, Airbnb i Perplexity.

Ludzie polskiego AI: indeks 125 firm i ludzi

Za każdą polską firmą AI stoi konkretny człowiek z imieniem i nazwiskiem, często ten sam w kilku miejscach naraz, i to właśnie ludzie, nie tabelki finansowania, są prawdziwym bohaterem tego artykułu.

Sprawdź

Co z tego wynika praktycznie

Najważniejsza rzecz, jaką wyciągam z tej historii, nie dotyczy chińskich modeli per se. Dotyczy tego, że żaden model językowy, niezależnie od kraju pochodzenia, nie jest neutralnym narzędziem. Wszystkie noszą w sobie odciski palców tych, którzy je trenowali. Tylko że w przypadku modeli amerykańskich te odciski są dla nas mniej egzotyczne, więc rzadziej je zauważamy.

Dla zespołów IT i bezpieczeństwa w polskich firmach to powinien być sygnał do dwóch rzeczy. Po pierwsze – wiedzieć, czego się używa. Jeśli wasz pipeline CI/CD ma zaszytego asystenta kodu i nikt nie sprawdził, jaki model siedzi pod spodem, jesteście w punkcie wyjścia tego raportu. Po drugie – traktować generowany kod jak kod od juniora po długim weekendzie. Zaufanie ograniczone, code review obowiązkowe, statyczna analiza nie do pominięcia.

Booz Allen przyznał zresztą uczciwie, że nie ma dowodów na celowe wstawianie tylnych furtek. To ważne zdanie i często ginie w streszczeniach. Ale brak dowodu na intencję nie znosi problemu samej podatności. Kod, który wycieka hasła i nie sprawdza tokenów, jest dziurawy bez względu na to, kto go napisał, dlaczego i w jakim języku miał komentarze.

Pełny raport zobaczcie tutaj. Warto wrócić do niego za pół roku, kiedy ktoś powtórzy te testy na nowszych wersjach modeli. Bo jedno jest pewne: Qwen, DeepSeek, MiniMax i Kimi nie znikną z rynku. Pytanie tylko, kto pierwszy wymyśli, jak je sensownie audytować.