クラウドフレア、GLM-5.3応答155件に他者データ混入

米クラウドフレアは10月26日（現地時間）、AI推論サービス「Workers AI」で提供するGLM-5.3モデルの応答155件に、他の利用者のセッション内容が混入していたと公表した。対象期間は2026年8月27日から9月9日までである。原因は、コンテキスト長の設定ミスと、オープンソースの推論エンジン「SGLang」の不具合が重なったことだった。

ポイント

• 影響を受けたのは@cf/zai-org/glm-5.3に68万1280トークンを超えるプロンプトを送ったリクエストのみで、他のWorkers AIモデルは対象外だという。
• セキュリティ研究者が9月8日にHackerOne経由で報告し、クラウドフレアは翌日モデルを非公開にしたうえで修正版で復旧させた。
• 同社はSGLangの運用者に対し、v0.5.22以降への更新を推奨している。

GLM-5.3のKVキャッシュ漏えい、何が漏れたのか

同社エンジニアのケビン・フランスバーグ氏とミシェル・チェン氏による公式の事後報告によると、非常に長いプロンプトを送ると、他の利用者の直近のプロンプトや生成途中の回答の一部が応答に混じって返ることがあった。影響を受けた顧客は「少数」とし、具体的なアカウント数は明らかにしていない。

同社は「意図的な悪用の証拠は見つからなかった」と説明し、該当リクエストのタイミングや量は通常の長文コンテキスト利用と一致していたという。

コンテキスト長の不一致が招いたセッション間の混入

クラウドフレアはGLM-5.3のコンテキストウィンドウを104万8576トークンとしていたが、プロンプトを処理するプリフィル段階のKVキャッシュプールは68万1280トークンしか確保していなかった。SGLangはこのプールの大きさを、設定したコンテキスト長とは別に、起動時に残っているGPUメモリから決める。同社は公開前からこの不一致を把握していたと認めている。

そこに、プリフィルとデコード（トークン生成）を別ノードで処理するSGLangの分離モードの不具合が重なった。上限を超えたリクエストは「拒否」と記録されたものの、受付キューが「拒否」ではなく「完了」かどうかだけを確認していたため、1トークンの仮の値で処理が続いた。デコード側は以前のリクエストが残したKVキャッシュのページを読み込み、エラーではなくHTTP 200の正常応答を返した。ページは使用後にゼロ消去されていなかった。

公開前のテストがHTTPステータスコードとストリーミング動作だけを確認し、出力の正しさを検証していなかったことも、同社は穴として挙げた。

Workers AIの対応経過

セキュリティ企業ノスティック（Knostic）のガディ・エブロン氏が9月8日23時11分（UTC）に報告した。クラウドフレアは9月9日13時22分、2つの別アカウントで漏えいを再現したうえでセキュリティインシデントを宣言し、14時にモデルを非公開にした。設定の修正とエンジンのパッチ適用を経て、19時40分に再公開した。

背景：メモリを共有する推論サービスのリスク

KVキャッシュは、長いプロンプトを毎回計算し直さずに済むよう、途中のアテンション情報を保存するメモリである。推論事業者はコスト削減のため、このメモリを多くの顧客で共有する。米メディアのユナイトAI（Unite.AI）は、SGLang側の公表内容を引用し、問題は分離モードに限られ、修正は古いリリースブランチには反映されていないと伝えた。

今後の見通し：SGLangとクラウドフレアの対策

クラウドフレアはプリフィルのプールをコンテキスト長の約2倍にあたる約204万トークンに拡大し、デプロイ時にプールの大きさとコンテキスト長を照合するチェックを加えた。SGLang本体も、拒否したリクエストをKV転送の前に受付キューで打ち切るよう修正し、10月2日のv0.5.21と10月19日のv0.5.22に反映した。

長期的には、KVページごとにタグを付け、デコードが読み込む前に照合する仕組みをSGLangと共同で開発する。試作版は性能への影響が1％未満だったが、安定性の問題から8月に無効化している。RDMAベースのKV転送プロトコルの形式検証や、解放したKVページのゼロ消去も予定している。

よくある質問

自分のWorkers AIのデータも漏れたのか

2026年8月27日から9月9日の間にGLM-5.3へ68万1280トークンを超えるプロンプトを送った場合か、そうしたリクエストが読み込んだキャッシュに自分のプロンプトが残っていた場合に限られる。他のモデルは影響を受けていないという。

SGLangを自前で運用している場合は

分離モードを使っているなら、v0.5.22以降に更新し、KVプールが設定したコンテキスト長より小さくないかを確認するよう、クラウドフレアは勧めている。

参考資料

• Cross-request KV cache exposure in the GLM-5.3 Workers AI model, and our remediation with SGLang — Cloudflare Blog（2026年10月26日）
• Cloudflare Says GLM-5.3 Bug Leaked 155 Responses Across Tenant Sessions — Unite.AI（2026年10月26日）