Cloudflare a annoncé la correction d'une vulnérabilité de sécurité ayant entraîné une exposition de données utilisateur (Tenant Isolation Issue) dans le modèle d'intelligence artificielle GLM-5.3 disponible via la plateforme Workers AI. Le problème a causé la fuite de fragments de données de requêtes d'utilisateurs précédents vers d'autres utilisateurs, en raison d'une interférence technique entre les paramètres du modèle et le moteur d'inférence utilisé.
Détails de l'incident et portée affectée
Le problème a débuté le 27 août 2026 et a été découvert le 8 septembre 2026 via le programme HackerOne par le chercheur en sécurité Gadi Evron de la société Knostic. Cloudflare a précisé que la vulnérabilité n'a affecté que 155 réponses, toutes liées à des requêtes (prompts) extrêmement longues dépassant 681 280 tokens.
L'entreprise a rassuré ses utilisateurs en indiquant qu'il n'existe aucune preuve d'exploitation intentionnelle de cette vulnérabilité par des tiers, et a également confirmé que le problème était limité uniquement au modèle GLM-5.3 et ne s'est pas étendu à d'autres modèles hébergés sur la plateforme Workers AI.
Comment la fuite s'est-elle produite techniquement ?
La cause de cette fuite est due à la combinaison de deux facteurs techniques : le premier est une erreur de configuration (Misconfiguration), où le modèle GLM-5.3 a été lancé avec une fenêtre de contexte (Context Window) de 1 048 576 tokens, alors que la taille du pool de cache clé-valeur (KV cache pool) dans les processeurs graphiques (GPU) dédiés au processus de prefill ne pouvait contenir que 681 280 tokens.
Le second facteur est un bug dans le moteur d'inférence open source SGLang. Dans l'environnement d'inférence désagrégée (Disaggregated mode) utilisé par Cloudflare, lorsqu'une requête dépassant la capacité de la mémoire disponible arrivait, le moteur remplaçait la requête par un « substitut » (Placeholder) composé d'un seul token. Au lieu de rejeter la requête et d'envoyer une erreur au client, le processus de prefill envoyait ce substitut au nœud de décodage (decode node), lequel supposait à tort que la mémoire avait été entièrement mise à jour avec les nouvelles données, alors qu'elle contenait en réalité d'anciennes pages de cache (Cache pages) appartenant à des requêtes d'autres utilisateurs, ce qui a entraîné l'apparition de ces données dans la réponse du nouvel utilisateur.
Mesures correctives et solutions durables
Cloudflare a pris des mesures immédiates pour isoler le modèle et corriger le défaut, comprenant :
- Ajustement de la configuration : Augmentation de la taille du pool de cache KV pour qu'il puisse accueillir le double de la fenêtre de contexte requise (environ 2,04 millions de tokens), garantissant ainsi que les requêtes n'atteignent pas le chemin de rejet logiciel.
- Correctif pour le moteur SGLang : Collaboration avec les développeurs de SGLang pour garantir le rejet des requêtes invalides à un stade très précoce, avant tout transfert de données sur le réseau.
- Renforcement de la sécurité : Application d'améliorations supplémentaires à tous les déploiements SGLang pour garantir la vérification de l'intégrité des données transférées et éviter les conditions de concurrence (Race conditions) entre les nœuds.
Pourquoi cette nouvelle est-elle importante ?
Cet incident met en lumière les défis de sécurité complexes dans les environnements d'intelligence artificielle cloud multi-locataires (Multi-tenant). Alors que les entreprises se tournent vers une architecture d'inférence désagrégée (Disaggregated Inference) pour accroître l'efficacité et la vitesse, la gestion de la « propriété des pages de mémoire » (Memory page ownership) devient critique. Toute erreur de coordination entre les nœuds de prefill et de decode peut entraîner une fuite de données sensibles via la mémoire partagée, faisant de la vérification de l'intégrité des données (Data Integrity) dans les systèmes distribués une nécessité de sécurité tout aussi importante que le chiffrement traditionnel des données.