Cloudflare раскрыла утечку KV-кэша между запросами в модели GLM-5.3 на Workers AI

8 сентября 2026 года Cloudflare получила от исследователя безопасности Гади Эврона (Gadi Evron) из компании Knostic сообщение о проблеме изоляции арендаторов, затрагивающей модель GLM-5.3 на платформе Workers AI (@cf/zai-org/glm-5.3). Проблема возникла 27 августа. Компания устранила её и восстановила работу модели 9 сентября. Подтверждено, что другие модели, размещённые на Workers AI, не пострадали. В период с 27 августа по 9 сентября небольшая часть клиентов, использовавших модель GLM 5.3, получала ответы, содержавшие данные из запросов других клиентов к той же модели, отправленных незадолго до этого. Всего затронуто 155 ответов — все они относились к промптам длиннее 681 280 токенов. После исключения собственных тестов и запросов исследователя выявленные обращения совпадают по времени и объёму с обычным использованием длинного контекста, а не с многократной эксплуатацией ошибки. Доказательств намеренного использования уязвимости не найдено.

Подробности

Инцидент стал результатом двух наложившихся проблем. Первая — ошибка конфигурации открытого движка инференса SGLang, который использует Cloudflare. Модель GLM 5.3 была развёрнута с окном контекста 1 048 576 токенов, однако пул KV-кэша на GPU предзаполнения (prefill) вмещал только 681 280 токенов. О несоответствии знали до запуска, но предполагали, что движок вернёт ошибку на любой промпт, который не сможет обработать; тесты длинного контекста завершались успешно, поэтому проблема не считалась значимой. Вторая проблема — баг в обработке SGLang запросов превышенной длины в режиме раздельного предзаполнения и декодирования (disaggregated prefill/decode). Промпт, не помещавшийся в пул, внутренне помечался как отклонённый и заменялся заполнителем в один токен. Однако вместо прерывания запроса и возврата клиентской ошибки prefill генерировал KV-кэш для промпта-заполнителя и передавал его на узел декодирования. Узел декодирования получал сообщение о завершении передачи и предполагал, что prefill перезаписал KV-кэш предыдущих запросов полным промптом, что приводило к раскрытию данных между запросами. Cloudflare воспроизвела проблему на следующее утро и в течение 40 минут после объявления инцидента вывела модель из эксплуатации. Затем компания развернула исправленную конфигурацию и пропатченный движок инференса, восстановив сервис в тот же день. Отчёт публикуется одновременно с публикацией SGLang в рамках согласованного раскрытия; в нём описаны таймлайн реакции и последующее усиление защиты production-развёртываний SGLang, а также работа с мейнтейнерами проекта по устранению этой и подобных ошибок.

Что делать

Организациям, использовавшим модель @cf/zai-org/glm-5.3 на Workers AI в период с 27 августа по 9 сентября, рекомендуется проанализировать логи обращений с промптами длиной более 681 280 токенов и проверить ответы на наличие фрагментов посторонних данных. При обнаружении подобных случаев следует рассматривать затронутые данные как потенциально скомпрометированные и уведомить Cloudflare. Тем, кто разворачивает SGLang самостоятельно, необходимо проверить соответствие окна контекста модели размеру пула KV-кэша на GPU предзаполнения и обновиться до версии движка с исправлением. Также стоит исключить передачу в промпты конфиденциальных сведений без дополнительных мер защиты и отслеживать публикации upstream-мейнтейнеров SGLang. Инцидент показывает, что даже при отсутствии признаков намеренной эксплуатации несоответствие конфигурации и ошибка в движке инференса способны привести к межтенантной утечке данных. Своевременное согласованное раскрытие и патчинг upstream-компонентов остаются ключевыми мерами снижения таких рисков.

Источник: Cloudflare Blog (Security)