26 жовтня Cloudflare опублікувала детальний звіт про витік даних у Workers AI — своєму сервісі для запуску ШІ-моделей через API. Проблема стосувалася однієї моделі, GLM-5.3, у період з 27 серпня по 9 вересня 2026 року. У 155 відповідях модель генерувала текст, використовуючи дані, що залишилися від попередніх запитів, включно з можливими запитами інших користувачів та фрагментами відповідей на них.

У чому була причина

Поєдналися дві проблеми. Cloudflare налаштувала GLM-5.3 з контекстним вікном у 1 048 576 токенів, однак пул пам'яті, що зберігає робочий стан моделі (KV-кеш), мав місце лише для 681 280 токенів. Баг у SGLang — програмному забезпеченні з відкритим кодом для обслуговування моделей, яке використовує Cloudflare — призводив до того, що довші запити оброблялися як успішні замість того, щоб відхилятися. Після цього модель продовжувала роботу, спираючись на застарілі сторінки кешу, що залишилися від попередніх запитів до тієї ж моделі.

Саме тому постраждали лише запити довші за 681 280 токенів. Cloudflare стверджує, що лише невелика кількість клієнтів надсилала такі запити, що вони виглядали як звичайне використання довгого контексту, і що компанія не знайшла доказів навмисної експлуатації вразливості. Жодна інша модель Workers AI не постраждала.

Як виявили і виправили проблему

Дослідник з безпеки Ґаді Еврон (Gadi Evron) з Knostic повідомив про проблему через програму винагород за виявлення вразливостей Cloudflare на HackerOne пізно ввечері 8 вересня (за UTC). Наступного дня Cloudflare відтворила проблему на двох окремих облікових записах, зробила модель приватною о 14:00 UTC 9 вересня і відновила її доступність о 19:40 UTC.

Серед виправлень — збільшення пулу кешу до розміру, достатнього для повного контексту (близько 2,04 мільйона токенів); зміни в SGLang, щоб надто довгі запити відхилялися ще до будь-якої передачі даних; контрольні суми для перевірки передачі даних кешу; а також нові перевірки під час розгортання моделей, що зіставляють розмір пам'яті з довжиною контексту. Зміни до SGLang передано у відповідний проєкт з відкритим кодом. У звіті не описано, яким чином повідомляли постраждалих клієнтів.

Що це означає для бізнесу, який використовує хмарні ШІ-API

Розглядайте кожен запит як дані, якими ви ділитеся з постачальником. Навіть у випадку великого й надійного постачальника баг в обслуговуванні може розкрити ці дані комусь іншому. Надсилайте лише те, що дійсно потрібно для завдання, і видаляйте імена клієнтів, облікові дані та секретну інформацію, перш ніж вони потраплять до моделі.

Будьте обережні на межах можливостей. Цей баг стосувався лише запитів на межі заявленого контекстного вікна. Якщо ви передаєте через API дуже довгі документи, розгляньте можливість розбиття їх на менші запити замість того, щоб покладатися на максимальний обсяг.

Перевіряйте, як постачальник реагує на інциденти. Обираючи постачальника ШІ, звертайте увагу на наявність публічної програми винагород за вразливості та детальних звітів про інциденти, подібних до цього. Якщо ви надсилали до GLM-5.3 у Workers AI запити, довші за 681 280 токенів, у період з 27 серпня по 9 вересня, запитайте у Cloudflare, чи були ваші запити серед постраждалих.