Cloudflare behebt GLM-5.3-Fehler, durch den Daten zwischen Workers-AI-Anfragen offengelegt wurden

Cloudflare zufolge legte ein Fehler, der das GLM-5.3-Modell auf Workers AI betraf, zwischen dem 27. August und dem 9. September 2026 Daten aus den Anfragen einiger Kunden gegenüber anderen offen. Das Unternehmen identifizierte 155 betroffene Antworten. Sie alle wurden aus Prompts mit mehr als 681.280 Tokens generiert. Es fand keine Hinweise darauf, dass der Fehler vorsätzlich ausgenutzt wurde.

Bekannt wurde das Problem, nachdem der Sicherheitsforscher Gadi Evron von Knostic es am 8. September über Cloudflares HackerOne-Programm gemeldet hatte. Cloudflare konnte den Fehler am folgenden Morgen reproduzieren, nahm das Modell innerhalb von 40 Minuten nach Ausrufung eines Vorfalls offline und stellte es noch am selben Tag wieder bereit, nachdem Konfigurations- und Engine-Korrekturen eingespielt worden waren. Das Unternehmen erklärte, dass kein anderes auf Workers AI gehostetes Modell betroffen war.

Cloudflare führte die Offenlegung auf zwei Probleme zurück. GLM-5.3 war mit einem Kontextfenster von 1.048.576 Tokens konfiguriert, doch der KV-Cache-Pool auf den Prefill-GPUs konnte nur 681.280 Tokens aufnehmen. Außerdem verarbeitete SGLang, die Inferenz-Engine, mit der das Modell bereitgestellt wurde, in seiner entkoppelten Prefill- und Decode-Konfiguration Anfragen falsch, die die Kapazität des Pools überschritten.

Anstatt eine zu große Anfrage abzubrechen und einen Fehler zurückzugeben, ersetzte der betroffene SGLang-Pfad den Prompt durch einen Platzhalter mit einem Token. Die Prefill-Phase übertrug daraufhin Cache-Daten für diesen Platzhalter, während die Decode-Phase die Übertragung als abgeschlossen behandelte und den gesamten Satz von Seiten auslas, der für die ursprüngliche Anfrage reserviert worden war. Die meisten dieser Seiten waren nicht überschrieben worden und enthielten noch Daten aus früheren Anfragen, die anschließend in der Antwort erscheinen konnten.

Cloudflare änderte die Konfiguration so, dass der Prefill-KV-Pool etwa 2,04 Millionen Tokens aufnehmen kann – ungefähr doppelt so viele wie die Kontextlänge des Modells. Außerdem patchte das Unternehmen SGLang so, dass abgelehnte Anfragen vor dem Bootstrap, der Speicherzuweisung oder der KV-Übertragung beendet werden. Zusätzlich wurde eine Prüfung eingebaut, die sicherstellt, dass die Anzahl der übertragenen Tokens der von Decode reservierten Menge entspricht. Cloudflare zufolge testete das Unternehmen die Änderungen anhand des Reproduktionsskripts des Forschers und mit eigenen Canary-Markertests, bevor es das Modell wieder bereitstellte.

Der Vorfall führte außerdem zu umfassenderen Schutzmaßnahmen in Cloudflares SGLang-Bereitstellungen. Dazu gehören Prüfungen, die sicherstellen, dass die Pool-Kapazität die Kontextlänge übersteigt, sowie Maßnahmen zur Verringerung von Risiken durch KV-Cache-Übertragungen und die Wiederverwendung von Seiten. Cloudflare empfiehlt Betreibern, die entkoppeltes SGLang verwenden, auf Version 0.5.22 oder höher zu aktualisieren oder die entsprechenden Korrekturen zurückzuportieren. Das Unternehmen erklärte, dass Korrekturen für den Vorfall und damit verbundene Cache-Probleme in den Upstream übernommen wurden; die meisten davon sind in SGLang 0.5.22 enthalten.

Quellen: Cloudflare Blog.