docs(wiki): qwen-web baxia-WAF findings + shared docker-gpu-crash concept (ingest)

.wiki/concepts/omniroute-combo-deepseek-web-tuning.md

@@ -1,7 +1,7 @@
 ---
 title: OmniRoute: настройка web-комбо под агентскую работу (deepseek-web + тулы)
 type: concept
-tags: [omniroute, deepseek-web, tool-calling, combo, pi, web-cookie]
+tags: [omniroute, deepseek-web, tool-calling, combo, pi, web-cookie, qwen-web, baxia-waf]
 sources: [../sources/omniroute-session-2026-08-22.md]
 updated: 2026-08-22
 ---
@@ -82,3 +82,15 @@ OmniRoute для 2 комбо — overkill (Next.js + sqlite + дашборд +
 
 - [[admin-infra-project]] — контекст стека
 - [[omniroute-session-2026-08-22]] — хронология сессии (sources)
+
+## qwen-web: стена baxia-WAF (2026-08-22, llm-web-proxy подзадача)
+
+Попытка добавить qwen-web в llm-web-proxy упёрлась в анти-бот:
+
+- **Симптом:** completion возвращает HTTP 200 с JSON-эневелопом
+  `{"ret":["FAIL_SYS_USER_VALIDATE","RGV587_ERROR::SM::哎哟喂,被挤爆啦,请稍后重试"],"data":{"url":".../_____tmd_____/punish?x5secdata=...&action=captcha"}}`
+  — слайдер-капча Alibaba baxia-WAF. RGV587 = punish-flow, требует решить капчу в браузере (получить x5secdata).
+- **Проверено (все — капча):** Node-fetch с полным свежим cookie-jar (включая token/cna/ssxmod_itna), со всеми браузерными заголовками (sec-ch-ua, sec-fetch-*, Accept: text/event-stream), со статическим bx-umidtoken / без него. Даже **настоящий Chrome** (CDP :9222, залогиненная сессия, капча разгадана вручную): chats/new **проходит** (браузерный фингерпринт), но chat/completions виснет → капча возвращается.
+- **Вывод:** капча привязана к device-фингерпринту запроса (bx-umidtoken минтится JS из sg-wum.alibaba.com), не к cookie. Прямой API-scraping из Node — мёртвая ветка.
+- **Зацепка:** «из под omniroute работает» — в **контейнере** omniroute лежит рабочая версия `open-sse/executors/qwen-web.ts` (≠ GitHub main, который портировали в lwp). Сравнить и/или взять подход оттуда (возможно решённый punish-flow / живой браузерный путь). Ключ/сессия qwen хранится в omniroute DB (provider_connections, зашифрован `enc.v1.` + STORAGE_ENCRYPTION_KEY из `/app/data/server.env`).
+- Статус: подзадача [llm-web-proxy-qwen-web] 🟡 paused, next-сессия — юзер покажет рабочий подход.