Cloudflare anunció la corrección de una vulnerabilidad de seguridad que provocó la exposición de datos de los usuarios (problema de aislamiento de inquilinos) en el modelo de inteligencia artificial GLM-5.3 disponible a través de la plataforma Workers AI. El problema causó la filtración de partes de datos de solicitudes de usuarios anteriores a otros usuarios, como resultado de una interferencia técnica entre la configuración del modelo y el motor de inferencia utilizado.
Detalles del incidente y alcance afectado
El problema comenzó el 27 de agosto de 2026 y fue descubierto el 8 de septiembre de 2026 a través del programa HackerOne por el investigador de seguridad Gadi Evron de la empresa Knostic. Cloudflare aclaró que la vulnerabilidad afectó solo a 155 respuestas, todas ellas relacionadas con solicitudes (prompts) muy largas que superaban los 681,280 tokens.
La empresa aseguró a sus usuarios que no hay evidencia de una explotación deliberada de esta vulnerabilidad por parte de terceros, y confirmó que el problema estaba limitado únicamente al modelo GLM-5.3 y no se extendió a ningún otro modelo alojado en la plataforma Workers AI.
¿Cómo ocurrió la filtración técnicamente?
La causa de esta filtración se debe a la combinación de dos factores técnicos: el primero es un error de configuración (Misconfiguration), ya que el modelo GLM-5.3 se lanzó con una ventana de contexto (Context Window) de 1,048,576 tokens, mientras que el espacio de memoria caché de claves y valores (KV cache pool) en las unidades de procesamiento gráfico (GPUs) asignadas al proceso de prefill solo tenía capacidad para 681,280 tokens.
El segundo factor es un error de software (Bug) en el motor de inferencia de código abierto SGLang. En el entorno de inferencia desagregada (Disaggregated mode) que utiliza Cloudflare, cuando llegaba una solicitud que excedía la capacidad de memoria disponible, el motor reemplazaba la solicitud con un "marcador de posición" (Placeholder) compuesto por un solo token. En lugar de rechazar la solicitud y enviar un error al cliente, el proceso de prefill enviaba este marcador al nodo de decodificación (decode node), el cual asumía erróneamente que la memoria se había actualizado completamente con los nuevos datos, mientras que en realidad todavía contenía páginas de memoria (Cache pages) antiguas pertenecientes a solicitudes de otros usuarios, lo que provocó que esos datos aparecieran en la respuesta del nuevo usuario.
Medidas correctivas y soluciones sostenibles
Cloudflare tomó medidas inmediatas para aislar el modelo y corregir el fallo, incluyendo:
- Ajuste de configuración: Aumento del tamaño del grupo de KV cache para acomodar el doble de la ventana de contexto requerida (aproximadamente 2.04 millones de tokens), asegurando que las solicitudes no lleguen a la ruta de rechazo por software.
- Parcheo del motor SGLang: Trabajo con los desarrolladores de SGLang para garantizar que las solicitudes no válidas sean rechazadas en una etapa muy temprana antes de que comience cualquier transferencia de datos a través de la red.
- Refuerzo de la seguridad: Implementación de mejoras adicionales en todas las implementaciones de SGLang para garantizar la verificación de la integridad de los datos transferidos y evitar condiciones de carrera (Race conditions) entre los nodos.
¿Por qué es importante esta noticia?
Este incidente destaca los complejos desafíos de seguridad en los entornos de inteligencia artificial en la nube multiinquilino (Multi-tenant). Con la tendencia de las empresas hacia la arquitectura de inferencia desagregada (Disaggregated Inference) para aumentar la eficiencia y la velocidad, la gestión de la "propiedad de las páginas de memoria" (Memory page ownership) se vuelve crítica. Cualquier error en la coordinación entre los nodos de prefill y decode puede provocar la filtración de datos sensibles a través de la memoria compartida, lo que hace que la verificación de la integridad de los datos (Data Integrity) en los sistemas distribuidos sea una necesidad de seguridad tan importante como el cifrado de datos tradicional.