Cloudflareは、Workers AIプラットフォームで提供されているAIモデルGLM-5.3において、ユーザーデータが露出する脆弱性（テナント分離の問題）を修正したと発表しました。この問題は、モデルの設定と使用されている推論エンジンとの間の技術的な干渉により、過去のユーザーリクエストのデータの一部が他のユーザーに漏洩するというものでした。
インシデントの詳細と影響範囲
この問題は2026年8月27日に発生し、2026年9月8日にKnostic社のセキュリティ研究者Gadi Evron氏によってHackerOneプログラムを通じて発見されました。Cloudflareによると、影響を受けたのは155件のレスポンスのみであり、すべて681,280トークンを超える非常に長いプロンプトに関連するものでした。
同社は、この脆弱性が第三者によって悪意を持って利用された証拠はないとユーザーに保証しました。また、この問題はGLM-5.3モデルに限定されており、Workers AIプラットフォームでホストされている他のモデルには影響していないことを強調しました。
技術的な漏洩の仕組み
この漏洩の原因は、2つの技術的要因が重なったことにあります。第一に設定ミス（Misconfiguration）です。GLM-5.3モデルは1,048,576トークンのコンテキストウィンドウでリリースされましたが、プリフィル（prefill）処理用に割り当てられたGPU上のキー・バリューキャッシュプール（KV cache pool）は、681,280トークンまでしか収容できませんでした。
第二の要因は、オープンソースの推論エンジンSGLangのバグです。Cloudflareが使用している分離推論モード（Disaggregated mode）において、メモリ容量を超えるリクエストが到着すると、エンジンはリクエストをわずか1トークンの「プレースホルダー」に置き換えていました。リクエストを拒否してエラーをクライアントに送信する代わりに、プリフィル処理がこのプレースホルダーをデコードノードに送信していました。デコードノードはメモリが新しいデータで完全に更新されたと誤認しましたが、実際には他のユーザーの古いリクエストのメモリページ（キャッシュページ）が残っており、そのデータが新しいユーザーのレスポンスに表示される結果となりました。
是正措置と持続的な解決策
Cloudflareは、モデルの隔離と欠陥の修正のために以下の即時措置を講じました：
- 設定の調整：KVキャッシュプールのサイズを必要なコンテキストウィンドウの2倍（約204万トークン）に拡大し、リクエストが拒否パスに到達しないようにしました。
- SGLangエンジンのパッチ適用：SGLangの開発者と協力し、ネットワーク経由のデータ転送が開始される前の非常に早い段階で無効なリクエストを拒否するようにしました。
- セキュリティの強化：すべてのSGLangデプロイメントに追加の改善を適用し、転送データの整合性を検証し、ノード間のデータ競合（Race conditions）を回避するようにしました。
このニュースが重要な理由
このインシデントは、マルチテナントのクラウドAI環境における複雑なセキュリティ課題を浮き彫りにしています。企業が効率と速度を向上させるために分離推論（Disaggregated Inference）アーキテクチャを採用する中で、「メモリページの所有権」の管理は極めて重要になっています。プリフィルノードとデコードノード間の調整に少しでも不備があると、共有メモリを介して機密データが漏洩する可能性があるため、分散システムにおけるデータ整合性の検証は、従来のデータ暗号化と同等に重要なセキュリティ要件となっています。