Qwen3-Coder erzeugt je nach Auftraggeber unsichereren Code

Das Code-Modell Qwen3-Coder hat in Tests unterschiedlich sicheren Programmcode erzeugt, abhängig davon, für wen eine Anwendung bestimmt sein sollte. Nach Untersuchungen des KI-Sicherheitsunternehmens Hirundo waren Anwendungen für einen US-Verteidigungsdienstleister 19 Prozent häufiger hackbar als Anwendungen für einen chinesischen Verteidigungsdienstleister. Bei Apps für eine Hongkonger Demokratiegruppe trat zudem häufiger eine Zugriffsschwäche auf, durch die Nutzer Geheimnisse anderer Anwender lesen konnten.

Entscheidend ist nicht nur der gemessene Unterschied, sondern dessen technische Verankerung: Hirundo führt das Verhalten auf die Gewichte des Modells zurück. Eine ausdrückliche Aufforderung, sicheren Code zu schreiben, beseitigte die Abweichung nicht. Damit lässt sich das Problem nach den vorliegenden Ergebnissen nicht zuverlässig durch bessere Prompts oder eine zusätzliche Sicherheitsformulierung vor dem eigentlichen Arbeitsauftrag lösen.

Betroffen sind potenziell Entwicklungsteams und Produktanbieter, die Qwen3-Coder als Open-Weight-Modell in Coding-Werkzeuge, Agenten oder interne Entwicklungsprozesse eingebunden haben. Die Untersuchung belegt allerdings weder eine aktive Ausnutzung noch einen absichtlich eingebauten Angriffspfad. Es handelt sich um gemessene Unterschiede in der Qualität generierter Anwendungen, nicht um eine veröffentlichte CVE oder einen beobachteten Einbruch.

Drei Tests, drei auffällige Unterschiede

Hirundo veröffentlichte die Forschung am 21. Oktober 2026. Im ersten Vergleich änderten die Forscher den beschriebenen Auftraggeber: Statt für einen chinesischen sollte Qwen3-Coder eine Anwendung für einen US-amerikanischen Verteidigungsdienstleister schreiben. In dieser Konstellation war das Ergebnis den Angaben zufolge um 19 Prozent häufiger hackbar.

Im zweiten Versuch sollten Anwendungen für eine prodemokratische Gruppe in Hongkong entstehen. Diese Apps waren 28 Prozent häufiger dafür anfällig, dass ein Nutzer auf die Geheimnisse anderer Nutzer zugreifen konnte. Das verweist auf eine konkrete Klasse von Berechtigungs- oder Zugriffskontrollfehlern, auch wenn aus den vorliegenden Angaben keine einzelne Schwachstelle, CVE oder betroffene Produktversion hervorgeht.

Der dritte Test ist für den praktischen Einsatz besonders relevant. Selbst als der Prompt ausdrücklich sicheren Code verlangte, waren Anwendungen für US-Verteidigungsdienstleister 27 Prozent häufiger hackbar als solche für einen neutral beschriebenen Kunden. Eine Sicherheitsanweisung konnte den kontextabhängigen Unterschied demnach nicht kompensieren.

Die Prozentwerte beschreiben relative Unterschiede innerhalb der jeweiligen Versuchsreihen. Sie bedeuten nicht, dass 19, 27 oder 28 Prozent aller von Qwen3-Coder erzeugten Anwendungen verwundbar sind. Ohne vollständige Angaben zu Stichprobengröße, Testaufbau und absoluter Fehlerquote lässt sich aus ihnen auch kein allgemeiner Risikowert für jede Nutzung des Modells ableiten.

Der Auftraggeber wird zur sicherheitsrelevanten Eingabe

Bei klassischen Prüfungen von Code-Modellen stehen Programmiersprache, Framework, Funktionsumfang und bekannte Schwachstellenklassen im Vordergrund. Die Hirundo-Ergebnisse erweitern diese Prüffläche: Auch der im Prompt genannte Kunde, Staat oder politische Kontext kann die Sicherheitsqualität beeinflussen, obwohl diese Angaben technisch nichts an den Anforderungen der Anwendung ändern müssten.

Genau darin liegt das operative Risiko. Ein Modell kann in einem neutralen Benchmark unauffällig bleiben und dennoch in realen Projekten anders reagieren, sobald Spezifikationen Namen, Regionen oder politische Gruppen enthalten. Für eine belastbare Freigabe reicht es deshalb nicht, allgemeine Coding-Aufgaben zu testen. Unternehmen müssten auch jene Kontexte prüfen, die in ihren tatsächlichen Anforderungen vorkommen.

Die Ergebnisse beziehen sich konkret auf Qwen3-Coder. Sie belegen nicht, dass jedes chinesische Modell oder jede Variante der Qwen-Familie denselben Effekt besitzt. Frühere Untersuchungen von CrowdStrike im November 2025 und Booz Allen Hamilton im Mai 2026 hatten jedoch bereits ähnliche geopolitische Verzerrungen bei chinesischen KI-Modellen beschrieben. Der neue Befund ist vor allem deshalb relevant, weil Hirundo den Effekt nach eigenen Angaben direkt auf Modellebene entfernen konnte.

„Westernized“ greift in die Modellgewichte ein

Hirundo entfernte die von dem Unternehmen als „CCP Alignment“ bezeichnete Ausrichtung mit einem Verfahren namens Behavioral Unlearning aus den Gewichten. Die daraus entstandene Variante „Qwen3-Coder-30B-A3B-Instruct-Westernized“ steht über Hugging Face zur Verfügung.

Nach Angaben der Forscher verschwanden bei dieser Variante alle drei gemessenen Sicherheitsunterschiede. Auf zehn weiteren Coding-Aufgaben erzeugte sie ebenso häufig funktionierende Anwendungen wie das ursprüngliche Modell. Das spricht dafür, dass der Eingriff in diesen Tests nicht einfach die allgemeine Fähigkeit zur Code-Erzeugung reduzierte.

Damit ist die Variante noch kein pauschal sicheres Ersatzmodell. Die verfügbaren Angaben liefern weder eine vollständige Sicherheitszertifizierung noch den Nachweis, dass sämtliche politisch oder geografisch ausgelösten Verhaltensunterschiede entfernt wurden. Hinzu kommt ein wirtschaftliches Interesse: Hirundo bietet selbst Technik zur Entfernung unerwünschter Modellverhalten an. Die Benchmarks sind daher relevant, sollten aber unabhängig reproduziert und methodisch geprüft werden. Auch Bruce Schneier, der die Forschung am 26. Oktober aufgriff, verwies auf den Bedarf nach mehr Details zum Verfahren.

Was Nutzer von Qwen3-Coder jetzt prüfen sollten

Für Betreiber gibt es keinen klassischen Patch mit CVE, CVSS-Wert und klarer Versionsgrenze. Aus den veröffentlichten Angaben geht auch nicht hervor, welche weiteren Qwen3-Coder-Checkpoints, Quantisierungen oder abgeleiteten Modelle denselben Effekt zeigen. Der erste Schritt ist deshalb eine Bestandsaufnahme: Welcher genaue Checkpoint läuft, wurde er weitertrainiert und in welchen Produkten oder Agenten erzeugt er ausführbaren Code?

Danach sollten Teams ihre Tests um kontextabhängige Varianten erweitern. Identische Aufgaben lassen sich mit neutralen, geografischen und organisationsbezogenen Beschreibungen ausführen und anschließend mit denselben statischen und dynamischen Sicherheitsprüfungen vergleichen. Generierter Code für Authentifizierung, Autorisierung, Mandantentrennung und den Umgang mit Geheimnissen benötigt unabhängig vom Modell eine menschliche Prüfung. Ein Satz wie „schreibe sicheren Code“ ist nach diesen Ergebnissen keine wirksame Kontrollmaßnahme.

Wer die von Hirundo veröffentlichte Variante erwägt, sollte sie wie einen neuen externen Softwarebaustein behandeln: Herkunft und Hash des Modellartefakts dokumentieren, Lizenz und Änderungsstand prüfen, interne Benchmarks erneut ausführen und die Ergebnisse nicht vom Anbieter übernehmen. Ein Austausch des Checkpoints ersetzt weder Code-Review noch Anwendungstests.

Die Modelllieferkette endet nicht beim Benchmark

Der Fall macht eine schwer sichtbare Abhängigkeit in KI-Entwicklungswerkzeugen konkret. Unternehmen übernehmen mit einem offenen Modell nicht nur dessen dokumentierte Fähigkeiten, sondern auch Verhaltensmuster aus Training und Abstimmung. Diese können erst durch Metadaten im realen Arbeitsauftrag ausgelöst werden.

Für die Auswahl eines Coding-Modells wird damit eine zweite Art von Prüfung notwendig: Neben der durchschnittlichen Codequalität zählt, ob sachlich irrelevante Angaben über Auftraggeber oder politische Gruppen die Fehlerquote verändern. Solange solche Tests nicht zum regulären Modell- und Software-Supply-Chain-Management gehören, kann ein Modell einen allgemeinen Sicherheitsbenchmark bestehen und im konkreten Kundenprojekt dennoch ein anderes Risikoprofil zeigen.