Cloudflare hat die Behebung einer Sicherheitslücke bekannt gegeben, die zur Offenlegung von Benutzerdaten (Tenant Isolation Issue) im KI-Modell GLM-5.3 führte, das über die Plattform Workers AI verfügbar ist. Das Problem verursachte einen Abfluss von Teilen früherer Benutzeranfragen an andere Benutzer, was auf eine technische Überschneidung zwischen den Modellkonfigurationen und der verwendeten Inferenz-Engine zurückzuführen war.
Details zum Vorfall und betroffener Umfang
Das Problem begann am 27. August 2026 und wurde am 8. September 2026 über das HackerOne-Programm von dem Sicherheitsforscher Gadi Evron von der Firma Knostic entdeckt. Cloudflare erklärte, dass die Sicherheitslücke nur 155 Antworten betraf, die alle mit sehr langen Anfragen (Prompts) zusammenhingen, die 681.280 Token überschritten.
Das Unternehmen versicherte seinen Nutzern, dass es keine Beweise für eine vorsätzliche Ausnutzung dieser Schwachstelle durch Dritte gibt. Zudem wurde bestätigt, dass das Problem ausschließlich auf das Modell GLM-5.3 beschränkt war und sich nicht auf andere auf der Workers AI-Plattform gehostete Modelle erstreckte.
Wie kam es technisch zum Datenabfluss?
Die Ursache für diesen Abfluss liegt in zwei technischen Faktoren: Der erste ist eine Fehlkonfiguration (Misconfiguration), da das Modell GLM-5.3 mit einem Kontextfenster (Context Window) von 1.048.576 Token gestartet wurde, während der Speicherbereich für den Key-Value-Cache (KV-Cache-Pool) in den für den Prefill-Prozess zugewiesenen Grafikprozessoren (GPUs) nur 681.280 Token aufnehmen konnte.
Der zweite Faktor ist ein Softwarefehler (Bug) in der Open-Source-Inferenz-Engine SGLang. In der von Cloudflare verwendeten disaggregierten Inferenzumgebung (Disaggregated mode) wurde eine Anfrage, die die verfügbare Speicherkapazität überschritt, von der Engine durch einen Platzhalter (Placeholder) ersetzt, der aus nur einem Token bestand. Anstatt die Anfrage abzulehnen und einen Fehler an den Kunden zu senden, übermittelte der Prefill-Prozess diesen Platzhalter an den Decode-Knoten. Dieser ging fälschlicherweise davon aus, dass der Speicher vollständig mit den neuen Daten aktualisiert worden war, während er tatsächlich noch alte Speicherseiten (Cache pages) von Anfragen anderer Benutzer enthielt, was dazu führte, dass diese Daten in der Antwort des neuen Benutzers erschienen.
Korrekturmaßnahmen und nachhaltige Lösungen
Cloudflare hat sofortige Schritte zur Isolierung des Modells und zur Behebung des Fehlers eingeleitet, darunter:
- Anpassung der Konfiguration: Erhöhung der Größe des KV-Cache-Pools auf das Doppelte des erforderlichen Kontextfensters (ca. 2,04 Millionen Token), um sicherzustellen, dass Anfragen den Pfad der programmgesteuerten Ablehnung nicht erreichen.
- Patching der SGLang-Engine: Zusammenarbeit mit den SGLang-Entwicklern, um sicherzustellen, dass ungültige Anfragen in einem sehr frühen Stadium abgelehnt werden, bevor ein Datentransfer über das Netzwerk beginnt.
- Stärkung der Sicherheit: Implementierung zusätzlicher Verbesserungen für alle SGLang-Bereitstellungen, um die Integrität der übertragenen Daten zu gewährleisten und Race Conditions zwischen den Knoten zu vermeiden.
Warum ist diese Nachricht wichtig?
Dieser Vorfall unterstreicht die komplexen Sicherheitsherausforderungen in Multi-Tenant-Cloud-KI-Umgebungen. Da Unternehmen zunehmend auf eine disaggregierte Inferenzarchitektur (Disaggregated Inference) setzen, um Effizienz und Geschwindigkeit zu steigern, wird die Verwaltung der "Speicherseiten-Besitzverhältnisse" (Memory page ownership) zu einem kritischen Punkt. Jeder Fehler in der Koordination zwischen Prefill- und Decode-Knoten kann zum Abfluss sensibler Daten über den gemeinsam genutzten Speicher führen. Dies macht die Überprüfung der Datenintegrität (Data Integrity) in verteilten Systemen zu einer Sicherheitsnotwendigkeit, die ebenso wichtig ist wie die herkömmliche Datenverschlüsselung.