Cloudflare и потеря изоляции в KV-кэше: случай модели GLM-5.3

26 октября 2026 года Cloudflare раскрыла подробности инцидента безопасности. С 27 августа по 9 сентября 2026 года модель GLM-5.3 в Workers AI возвращала некоторым клиентам ответы с данными из запросов других пользователей. Инцидент затронул 155 ответов, все они были сгенерированы по промптам длиннее 681 280 токенов. По словам Cloudflare, другие модели Workers AI не пострадали. У утечки было две причины. Первая — расхождение в конфигурации между контекстным окном модели (1 048 576 токенов) и ёмкостью пула KV-кэша на GPU для prefill (681 280 токенов). Cloudflare знала о нём до запуска, но не ожидала, что оно вызовет проблемы. Вторая — ошибка в открытом движке инференса SGLang.

По реконструкции компании, когда промпт превышал лимит KV-кэша, SGLang в дезагрегированном режиме помечал запрос как отклонённый и подменял его заглушкой, но обработку не прерывал. Очереди допуска проверяли только, завершилось ли выполнение, но не то, был ли запрос отклонён. В результате узел decode получал доступ к страницам памяти, где ещё хранились данные предыдущих промптов, и отправлял клиенту код HTTP 200 вместо ошибки. Похожая проблема была описана в репозитории SGLang ещё 6 июля 2026 года, в issue #30233. Кроме того, как сообщает Unite.AI со ссылкой на официальный отчёт, проверки Cloudflare перед запуском касались кодов ответа HTTP и производительности на длинных контекстах, но не корректности итогового вывода модели.

Об инциденте 8 сентября 2026 года через HackerOne сообщил исследователь безопасности Гади Эврон (Gadi Evron) из компании Knostic. 9 сентября (UTC) в 13:22 Cloudflare объявила инцидент, воспроизведя его с двух разных аккаунтов. В 14:00 модель сделали приватной, в 14:35 нашли причину. В 19:40 модель снова стала публичной, после того как пул KV-кэша для prefill увеличили примерно до 2,04 млн токенов. Это примерно вдвое больше контекстного окна, как и в конфигурации GLM 5.2. Исправление в SGLang теперь отбрасывает отклонённые запросы с исходной ошибкой ещё до какой-либо передачи KV. Его предложили в upstream (#38704), и оно входит в SGLang начиная с v0.5.20. Публикацию отчёта согласовали с мейнтейнерами SGLang (RadixArk). Cloudflare рекомендует пользователям SGLang обновиться до v0.5.22 или новее и на каждом узле сверить размер пула KV с длиной контекста. Тем не менее ряд вопросов остаётся открытым. В отчёте Cloudflare утверждает, что не нашла доказательств намеренной эксплуатации («We found no evidence of deliberate exploitation»), но это внутренняя оценка, которую третьи стороны не проверяли. Сколько клиентов пострадало, Cloudflare не называет и говорит лишь о небольшом числе. Компания также не уточняет, какие именно данные оказались в 155 ответах, и не поясняет, сообщили ли пострадавшим клиентам и каким образом. Исследовательский отчёт Эврона пока не опубликован.

Разделение prefill и decode на разные инфраструктуры позволяет потянуть стоимость длинных контекстов, но переносит границу безопасности на целостность общей памяти GPU. Когда оптимизация ресурсов и тесты производительности идут раньше проверки корректности вывода, достаточно одного неперехваченного состояния ошибки, чтобы эффективность обернулась случайной потерей изоляции. — Olya