Cloudflare und der Isolationsverlust im KV-Cache: der Fall GLM-5.3

Am 26. Oktober 2026 hat Cloudflare Details zu einem Sicherheitsvorfall veröffentlicht. Zwischen dem 27. August und dem 9. September 2026 gab das Modell GLM-5.3 auf Workers AI einigen Kunden Antworten zurück, die Daten aus den Anfragen anderer Nutzer enthielten. Betroffen waren 155 Antworten, alle erzeugt aus Prompts mit mehr als 681.280 Tokens. Laut Cloudflare war kein anderes Workers-AI-Modell betroffen. Das Datenleck hatte zwei Ursachen. Die erste war eine Konfigurationsabweichung zwischen dem Kontextfenster des Modells (1.048.576 Tokens) und der Kapazität des KV-Cache-Pools auf den Prefill-GPUs (681.280 Tokens). Cloudflare kannte sie schon vor dem Start, rechnete aber nicht mit Problemen. Die zweite war ein Fehler in der Open-Source-Inferenz-Engine SGLang.

Nach der Rekonstruktion des Unternehmens markierte SGLang im disaggregierten Modus eine Anfrage als abgelehnt, sobald ein Prompt das Limit des KV-Cache überschritt, und ersetzte sie durch einen Platzhalter. Den Ablauf unterbrach die Engine dabei nicht. Die Zulassungswarteschlangen prüften nur, ob die Ausführung abgeschlossen war, nicht aber, ob die Anfrage abgelehnt worden war. So konnte der Decode-Knoten auf Speicherseiten zugreifen, die noch Daten früherer Prompts enthielten, und dem Client statt eines Fehlers einen HTTP-200-Code senden. Ein ähnliches Problem war im SGLang-Repository bereits am 6. Juli 2026 mit dem Issue #30233 gemeldet worden. Laut Unite.AI, das sich auf den offiziellen Bericht stützt, prüften Cloudflares Tests vor dem Start die HTTP-Statuscodes und die Leistung bei langen Kontexten, nicht jedoch die Korrektheit der endgültigen Modellausgabe.

Gemeldet wurde der Vorfall am 8. September 2026 vom Sicherheitsforscher Gadi Evron von Knostic über HackerOne. Am 9. September (UTC) erklärte Cloudflare um 13:22 Uhr den Vorfall, nachdem er von zwei verschiedenen Konten aus reproduziert worden war. Um 14:00 Uhr wurde das Modell auf privat gestellt, um 14:35 Uhr war die Ursache gefunden. Um 19:40 Uhr ging das Modell wieder online, nachdem der Prefill-KV-Cache-Pool auf rund 2,04 Millionen Tokens vergrößert worden war. Das ist etwa das Doppelte des Kontextfensters, wie schon in der Konfiguration von GLM 5.2. Der SGLang-Fix verwirft abgelehnte Anfragen jetzt mit ihrem ursprünglichen Fehler, bevor KV-Daten übertragen werden. Er wurde upstream eingereicht (#38704) und ist ab SGLang v0.5.20 enthalten. Die Veröffentlichung des Berichts wurde mit den SGLang-Maintainern (RadixArk) abgestimmt. Cloudflare empfiehlt SGLang-Nutzern ein Update auf v0.5.22 oder neuer und auf jedem Knoten einen Abgleich der KV-Pool-Größe mit der Kontextlänge. Einige Fragen bleiben allerdings offen. Cloudflare erklärt im Bericht, keine Hinweise auf eine gezielte Ausnutzung gefunden zu haben („We found no evidence of deliberate exploitation“). Das ist jedoch eine interne Einschätzung, die Dritte nicht überprüft haben. Wie viele Kunden betroffen waren, sagt Cloudflare nicht, die Rede ist nur von einer kleinen Zahl. Welche Daten in den 155 Antworten offengelegt wurden und ob und wie die betroffenen Kunden informiert wurden, bleibt ebenfalls offen. Evrons Forschungsbericht ist noch nicht erschienen.

Die Trennung von Prefill und Decode auf getrennte Infrastruktur macht lange Kontexte bezahlbar. Sie verlagert die Sicherheitsgrenze aber auf die Integrität des gemeinsam genutzten GPU-Speichers. Wenn Ressourcenoptimierung und Leistungstests vor der Prüfung der Ausgabe kommen, reicht ein einziger nicht abgefangener Fehlerzustand, und aus Effizienz wird ein unbeabsichtigter Verlust der Isolation. — Olya