Cloudflare розкриває витік у GLM-5.3
26 жовтня 2026 року Cloudflare опублікувала звіт про збій ізоляції клієнтів у розгортанні моделі GLM-5.3 у Workers AI: між 27 серпня і 9 вересня 155 відповідей на запити довші за 681 280 токенів містили дані чужих запитів. Дослідник безпеки повідомив 8 вересня; Cloudflare вимкнула модель за 40 хвилин після оголошення інциденту 9 вересня і не знайшла ознак навмисної експлуатації. Причина — пул кешу GPU, менший за контекстне вікно, та помилка рушія SGLang; звіт вийшов як узгоджене розкриття.
Чому це важливо
Перетікання запитів між користувачами розміщеної моделі — саме та вада, якої хостинг висновування обіцяє не мати. Тут вона мала дві буденні причини: розгортання, де пул кешу був меншим за заявлене контекстне вікно (Cloudflare пише, що знала про розбіжність до запуску й перевіряла лише коди відповідей, а не вміст), і шлях у рушії, що відхилений запит вважав живим. Звіт — власний, Cloudflare, і ставить на перше місце її помилку; бік рушія підтверджують публічне звернення SGLang від 6 липня і дати випусків. «Невелика кількість клієнтів» і 155 відповідей — підрахунок самої Cloudflare.
Хронологія (UTC, за Cloudflare): 27 серпня — запуск GLM-5.3; 8 вересня, 23:11 — звіт через HackerOne від Гаді Евруна (Knostic); 9 вересня о 13:22 — оголошено інцидент (відтворено за 25 хвилин), о 14:00 модель закрито (запити повертають HTTP 400), о 19:40 відновлено після виправлення конфігурації й патча рушія; SGLang v0.5.20 — 18 вересня, v0.5.21 — 2 жовтня, v0.5.22 — 19 жовтня; 26 жовтня — узгоджена публікація з дослідником і RadixArk. Механізм: пул KV-кешу на вузлах попереднього заповнення вміщав 681 280 токенів при контекстному вікні 1 048 576; запит, що не вміщався, рушій у розділеному режимі (попереднє заповнення й декодування на різних вузлах) замінював одним токеном-заглушкою, але не припиняв: вузол декодування отримував «передачу завершено» і читав сторінки кешу, де лишились дані попередніх запитів. Лише GLM-5.3 мала такий пул; в інших моделях Workers AI пул більший за контекст. Cloudflare перенастроїла пул приблизно на 2,04 мільйона токенів і запропонувала в апстрім виправлення (#38704; його підхід об'єднано в #38935), а також ужила заходів для всіх розгортань SGLang. Третя сторона. Публічне звернення SGLang #30233, відкрите іншим користувачем 6 липня 2026 року, описує, як перервані запити з надто довгим входом змушують декодування генерувати сміття з неповного кешу; дати випусків v0.5.20–0.5.22 на GitHub — 18 вересня, 2 і 19 жовтня. Чого запис не стверджує. Підрахунок у 155 відповідей виключає тести Cloudflare і дослідника. Власний допис SGLang від 26 жовтня збігається з Cloudflare за датами, довжиною контексту й розміром пулу кешу та називає виправлення; обсяг і вплив на клієнтів він бере зі звіту Cloudflare й власного підрахунку не дає. Вада не в самій моделі GLM від Z.ai.