Cloudflare hat am 26. Oktober 2026 einen Incident Report veröffentlicht: Zwischen dem 27. August und dem 9. September 2026 enthielten 155 Antworten des auf Workers AI gehosteten Modells GLM-5.3 Daten aus früheren Anfragen anderer Kunden. Betroffen waren ausschließlich Prompts mit mehr als 681.280 Token. Ursache war ein zu klein konfigurierter KV-Cache-Pool in Kombination mit einem Fehler in der Inference-Engine SGLang.
Cloudflare hat am 26. Oktober 2026 einen Incident Report veröffentlicht, der einen Fehler in der eigenen Inferenz-Umgebung beschreibt. Zwischen dem 27. August und dem 9. September 2026 enthielten 155 Antworten des Modells GLM-5.3 auf Workers AI Daten aus früheren Anfragen anderer Kunden desselben Modells. Betroffen waren nach Angaben des Unternehmens ausschließlich Prompts mit mehr als 681.280 Token; alle Antworten kamen mit dem Statuscode 200 zurück, also ohne Fehlermeldung.
Aufmerksam wurde Cloudflare durch den Sicherheitsforscher Gadi Evron von Knostic, der den Fehler am 8. September über das HackerOne-Programm meldete. Das Unternehmen reproduzierte den Effekt am Folgetag mit zwei eigenen Konten innerhalb von 25 Minuten, rief um 13:22 Uhr UTC den Sicherheitsvorfall aus und nahm das Modell um 14:00 Uhr offline. Nach Korrektur der Konfiguration und einem Patch der Engine war GLM-5.3 um 19:40 Uhr wieder öffentlich verfügbar. Nach Prüfung der übrigen Fälle schließt Cloudflare eine gezielte Ausnutzung aus: Zeitpunkt und Umfang der betroffenen Anfragen entsprächen gewöhnlicher Langkontext-Nutzung.
Die Ursache liegt in zwei überlappenden Problemen. GLM-5.3 wurde mit einem Kontextfenster von 1.048.576 Token betrieben, der KV-Cache-Pool auf den Prefill-GPUs fasste aber nur 681.280 Token – ein Missverhältnis, das dem Unternehmen vor dem Start bekannt war. Hinzu kam ein Fehler in SGLang im disaggregierten Prefill-/Decode-Betrieb: Eine zu lange Anfrage wurde intern abgewiesen und durch einen Ein-Token-Platzhalter ersetzt, aber nicht an den Client zurückgemeldet. Prefill erzeugte den Cache für den Platzhalter, meldete die Übertragung als abgeschlossen, und der Decode-Knoten ging davon aus, dass der Cache mit der vollständigen Anfrage überschrieben worden war. Er reservierte acht Speicherseiten, von denen nur eine beschrieben war; die übrigen sieben enthielten noch Daten früherer Anfragen. Die Antwort war inhaltlich kohärent, die Token-Zahl passte zur Anfrage, und niemand erhielt einen Fehler.
Cloudflare hat den Pool auf rund 2,04 Millionen Token vergrößert, also etwa das Doppelte des Kontextfensters, und die Engine so gepatcht, dass abgewiesene Anfragen vor jeder Übergabe mit ihrer ursprünglichen Fehlermeldung beendet werden. Der Patch ging als Vorschlag #38704 an das SGLang-Projekt; die Upstream-Fixes #36988 und #38935 sind in den Versionen 0.5.20 bis 0.5.22 enthalten. Die Veröffentlichung erfolgte abgestimmt mit den SGLang-Maintainern von RadixArk und dem Forscher. Als eigene Testlücke nennt das Unternehmen, dass vor dem Start nur HTTP-Statuscodes und Performance geprüft wurden, nicht die Kohärenz der Modellausgaben.
Für Betreiber disaggregierter SGLang-Deployments nennt der Bericht fünf Punkte:
- KV-Pool gegen die Kontextlänge messen, auf jedem Prefill- und Decode-Knoten, nach jeder Änderung an Gewichten, Quantisierung, Parallelität oder Speicheranteil
- Auf eine Version ab SGLang 0.5.22 aktualisieren, damit überlange Anfragen vor der Übergabe abgewiesen werden
- Deferred KV Release auf beiden Rollen aktivieren und die Transfer-Batches begrenzen
- Korruptionserkennung über die Optionen für KV-Checksum und KV-Canary einschalten, soweit die Modellarchitektur sie unterstützt
- Den Load Balancer so konfigurieren, dass Client-Abbrüche keine Abbrüche mitten im Transfer auslösen
Als dauerhafte Absicherung arbeitet Cloudflare an Seiten-Tags, die bei jeder Neuvergabe wechseln und vor dem Lesen geprüft werden. Ein Prototyp kostete nach Unternehmensangaben weniger als 1 Prozent Durchsatz und Tail-Latenz, wurde im August auf GLM 5.2 getestet und wegen Zuverlässigkeitsproblemen wieder abgeschaltet; eine produktionsreife Fassung soll gemeinsam mit dem SGLang-Team entstehen. Zusätzlich will Cloudflare das Übertragungsprotokoll für den KV-Cache formal verifizieren.
Der Bericht ordnet den Fehler ausdrücklich dem Serving-Stack zu, nicht dem Modell; GLM-5.3 selbst war nicht kompromittiert, und kein anderes auf Workers AI gehostetes Modell war betroffen. Für die Beschaffung von KI-Diensten folgt daraus, dass die Mandantentrennung der Laufzeitumgebung eine eigene Prüffrage ist, die von der Auswahl des Modells zu trennen ist.
Autor: Team REN-AI-SSANCE – mit KI-Unterstützung erstellt, von Menschen geprüft und freigegeben.
Quelle: Cloudflare Blog – Originalartikel vom 26.10.2026; Abruf/Archivstand: 28.10.2026
