Cloudflare: GLM-5.3 auf Workers AI gab Daten fremder Kunden preis

Cloudflare hat einen Sicherheitsvorfall bei seinem Inferenz-Dienst Workers AI offengelegt: Beim Modell GLM-5.3 (@cf/zai-org/glm-5.3) konnten Antworten Daten aus den Anfragen anderer Kunden enthalten. Betroffen waren 155 Antworten zwischen dem 27. August und dem 9. September 2026, ausschließlich bei Prompts mit mehr als 681.280 Tokens.

Was schiefging

Zwei Probleme trafen zusammen:

• Konfiguration: GLM-5.3 lief mit 1.048.576 Token Kontext, der KV-Cache-Pool auf den Prefill-GPUs fasste aber nur 681.280 Tokens. Cloudflare kannte den Unterschied und ging davon aus, dass die Engine zu lange Prompts mit einem Fehler ablehnt.
• Bug in SGLang: Im disaggregierten Prefill/Decode-Betrieb wurde ein zu langer Prompt intern durch einen Ein-Token-Platzhalter ersetzt, statt abgebrochen zu werden. Die Decode-Node bekam trotzdem „Transfer complete" gemeldet und las veraltete Cache-Seiten früherer Anfragen.

Reaktion

Ein Forscher von Knostic meldete das Problem am 8. September über HackerOne. Cloudflare reproduzierte es am nächsten Morgen und nahm das Modell binnen 40 Minuten nach Incident-Ausruf offline. Der Pool fasst jetzt rund 2,04 Millionen Tokens, und die Rejection-Logik in SGLang wurde gepatcht, die Fixes sind upstream eingeflossen. Andere Workers-AI-Modelle waren laut Cloudflare nicht betroffen. Für gezielte Ausnutzung fand man keine Hinweise.

Langfristig will Cloudflare den RDMA-basierten KV-Cache-Transfer (Mooncake) formal modellieren und verifizieren. Lehre für alle, die Modelle selbst hosten: Kontextlänge und Cache-Größe müssen zusammenpassen, und „Fehler erwartet" ist keine Sicherheitsgarantie.

Quelle: Cloudflare Blog