클라우드플레어 GLM-5.3 응답 155건, 타인 세션 노출…SGLang 버그

클라우드플레어가 10월 26일(현지시간) 자사 AI 추론 서비스 Workers AI에서 GLM-5.3 모델 응답 155건에 다른 이용자의 세션 내용이 섞여 나갔다고 공개했다. 노출 기간은 2026년 8월 27일부터 9월 9일까지다. 원인은 컨텍스트 길이 설정 오류와 오픈소스 추론 엔진 SGLang의 버그가 겹친 것이었다.

핵심 정리

• 영향을 받은 것은 @cf/zai-org/glm-5.3에 68만1,280토큰보다 긴 프롬프트를 보낸 요청뿐이며, 다른 모델은 해당하지 않는다.
• 보안 연구자가 9월 8일 해커원(HackerOne)으로 제보했고, 클라우드플레어는 이튿날 모델을 비공개로 돌린 뒤 수정본으로 복구했다.
• SGLang 운영자에게는 v0.5.22 이상 업그레이드가 권고됐다.

GLM-5.3 KV 캐시 노출, 무엇이 새어 나갔나

클라우드플레어 엔지니어 케빈 플랜스버그와 미셸 첸이 쓴 공식 사고 보고서에 따르면, 매우 긴 프롬프트를 보내면 다른 이용자의 최근 프롬프트나 생성 중이던 답변 일부가 응답에 섞여 돌아올 수 있었다. 영향을 받은 고객은 "소수"라고만 했다.

클라우드플레어는 "의도적인 악용 증거는 찾지 못했다"고 밝혔다.

컨텍스트 길이 설정 오류가 부른 교차 세션 노출

클라우드플레어는 GLM-5.3의 컨텍스트 창을 104만8,576토큰으로 내걸었지만, 프롬프트를 처리하는 프리필(prefill) 단계의 KV 캐시 풀은 68만1,280토큰만 담을 수 있었다. 회사는 출시 전부터 이 불일치를 알고 있었다고 인정했다.

여기에 프리필과 디코드(토큰 생성)를 다른 노드로 나눠 돌리는 SGLang 분리 모드의 버그가 겹쳤다. 길이를 넘은 요청은 '거부'로 표시됐지만 대기열이 요청의 '거부' 여부가 아니라 '완료' 여부만 확인한 탓에 1토큰짜리 자리표시자로 계속 실행됐다. 디코드 노드는 이전 요청이 남긴 KV 캐시 페이지를 읽었고, 오류 대신 HTTP 200 정상 응답을 돌려줬다.

출시 전 테스트가 HTTP 상태 코드만 보고 출력의 정확성은 검증하지 않은 점도 허점으로 꼽혔다.

Workers AI 사고 대응 일지

보안업체 노스틱(Knostic)의 가디 에브론이 9월 8일 23시 11분(UTC)에 제보했다. 클라우드플레어는 9월 9일 13시 22분 보안 사고를 선언하고 14시에 모델을 비공개로 돌렸으며, 설정과 엔진을 고친 뒤 19시 40분 다시 공개했다.

배경: 여러 고객이 메모리를 나눠 쓰는 추론의 위험

KV 캐시는 모델이 긴 프롬프트를 매번 다시 계산하지 않도록 중간 어텐션 값을 저장하는 메모리다. 추론 사업자는 비용을 줄이려 이 메모리를 여러 고객이 함께 쓰게 한다. 미국 매체 유나이트AI(Unite.AI)는 SGLang 측 공지를 인용해 분리 모드에서만 문제가 생겼고 수정이 이전 릴리스 브랜치에는 반영되지 않았다고 전했다. 회사의 자체 모델 전략은 Cloudflare 첫 자체 의사결정 모델 Clef 기사에서 다뤘다.

전망: SGLang과 클라우드플레어의 후속 조치

클라우드플레어는 프리필 풀을 컨텍스트 길이의 약 두 배인 약 204만 토큰으로 늘렸고, 배포 때 둘을 비교하는 검사를 넣었다. SGLang 본 프로젝트도 거부된 요청을 KV 전송 전에 대기열에서 정리하도록 고쳤으며, 수정은 10월 2일 v0.5.21과 10월 19일 v0.5.22에 담겼다.

장기적으로는 KV 페이지마다 꼬리표를 달아 디코드 전에 확인하는 방식을 SGLang과 함께 개발한다. 시제품은 성능 비용이 1% 미만이었지만 안정성 문제로 8월에 꺼 둔 상태다.

자주 묻는 질문

내 Workers AI 데이터도 노출됐나?

8월 27일~9월 9일에 GLM-5.3으로 68만1,280토큰을 넘는 프롬프트를 보냈거나, 그런 요청이 읽은 캐시에 내 프롬프트가 남아 있었을 때만 해당한다.

SGLang을 직접 운영하면 무엇을 해야 하나?

분리 모드를 쓴다면 v0.5.22 이상으로 올리고 KV 풀이 컨텍스트 길이보다 작지 않은지 확인하라는 것이 클라우드플레어의 권고다.

참고 자료

• Cross-request KV cache exposure in the GLM-5.3 Workers AI model, and our remediation with SGLang — Cloudflare Blog(2026년 10월 26일)
• Cloudflare Says GLM-5.3 Bug Leaked 155 Responses Across Tenant Sessions — Unite.AI(2026년 10월 26일)