Cloudflare が、Workers AI の GLM-5.3 で長い入力に他の利用者のデータを含む応答が返っていたと公表した。8月27日から9月9日までに155件で、悪用の証拠は見つからなかったとしている。
- Cloudflare が2026年10月26日（米国時間）、同社の Workers AI で動かす GLM-5.3（
@cf/zai-org/glm-5.3）に、利用者どうしのデータの分離に関わる問題があったと公表した。2026年8月27日の提供開始時から9月9日の復旧までの間、少数の顧客が、直前に同じモデルへ送られた別の顧客のリクエストのデータを含む応答を受け取ったとしている - 影響を受けた応答は155件で、いずれも681,280トークンより長いプロンプトへの応答だった。自社と報告した研究者のテストを除くと、該当のリクエストは通常の長い文脈の使い方と時期・量が合い、繰り返し悪用された形とは合わないとして、意図的な悪用の証拠は見つかっていないとしている
- 2026年9月8日、Knostic の研究者 Gadi Evron 氏が同社のバグ報奨金の窓口（HackerOne）で報告した。Cloudflare は翌朝に再現し、インシデントを宣言してから40分以内にモデルを止め、9月9日のうちに修正して復旧した。Workers AI の他のモデルは影響を受けていないと確認したとしている
- 原因は2つが重なったこと。1つは設定で、文脈の長さを1,048,576トークンとして配備したのに、プロンプトを処理する側の GPU の KV キャッシュ（過去の入力の計算結果を置く領域）は681,280トークン分しか無かった。この差は提供前から把握していたが、収まらない入力はエンジンがエラーを返すと想定し、長い文脈のテストが成功の応答だったので問題ないと考えた。確かめていたのは応答の状態と性能で、出力の中身ではなかったとしている
- もう1つは推論エンジン SGLang の不具合。プロンプトの処理と応答の生成を別の GPU に分ける構成で、領域に収まらないプロンプトは「拒否済み」の印が付いて1トークンの代用に置き換わるが、中止されないまま領域の受け渡しが進んだ。応答側は、前の利用者のデータが残ったままの領域を読んで応答を作った。エラーではなく HTTP 200 が返ったという
- 対策として、プロンプト側の領域を約204万トークン（同社は文脈の長さの「およそ2倍」としている）に広げ、拒否されたリクエストを受け渡しの前に打ち切るようエンジンにパッチを当てた。同種の対策を、SGLang で動かす他の全モデルにも入れたとしている。SGLang 側の修正は v0.5.20 から入り、同社は運用者に v0.5.22 以降への更新を勧めている
確かめた一次資料
この記事は、上の一次資料の原文を読んで書いています。数字は原文のとおりで、計算した値はそう書いています。