Cloudflare reconnaît qu'une faille de cache KV a exposé des données d'autres clients dans 155 réponses de GLM-5.3

Cloudflare a publié un rapport d'incident expliquant comment son modèle GLM-5.3, hébergé sur Workers AI, a renvoyé des données appartenant à d'autres clients. D'après ce rapport, diffusé le 26 octobre 2026 dans le cadre d'une divulgation coordonnée avec les mainteneurs de SGLang et le chercheur à l'origine de la découverte, 155 réponses produites entre le 27 août et le 9 septembre contenaient des fragments de requêtes d'autres utilisateurs. Cloudflare affirme que GLM-5.3 est le seul modèle de Workers AI concerné.

Deux défauts qui se sont combinés

Le premier relevait de la configuration. Le modèle était proposé avec une fenêtre de contexte de 1 048 576 jetons, mais la mémoire de cache clé-valeur (KV) utilisée pendant la phase de préremplissage ne pouvait en contenir que 681 280. Toutes les réponses touchées provenaient de prompts plus longs que cette réserve.

Le second était un bogue de SGLang, le moteur d'inférence open source, lorsque préremplissage et décodage tournent sur des machines distinctes. Une requête qui aurait dû être rejetée car trop volumineuse continuait de s'exécuter, et l'étape de décodage lisait des pages de cache contenant encore les données de requêtes antérieures. Le client recevait un code de succès au lieu d'une erreur. Le problème sous-jacent avait été signalé auprès de SGLang dès juillet 2026.

Détection et correction

Gadi Evron, de la société de sécurité Knostic, a signalé le comportement via le programme de primes aux bogues de Cloudflare sur HackerOne le 8 septembre. Le lendemain, Cloudflare a déclaré un incident, rendu le modèle privé, déployé une configuration corrigée, puis rétabli l'accès public le jour même après avoir validé la correction avec le script de reproduction du chercheur. La réserve de préremplissage atteint désormais environ 2,04 millions de jetons, et le moteur corrigé renvoie une erreur pour les requêtes rejetées au lieu de les traiter. Cloudflare prévoit aussi d'autres durcissements et un travail de vérification formelle du transfert de cache KV. Côté SGLang, les correctifs figurent dans les versions 0.5.20 et 0.5.21 ; Cloudflare recommande la 0.5.22 ou une version ultérieure.

Questions en suspens

Cloudflare indique que son analyse du trafic n'a révélé aucune exploitation délibérée. Selon l'entreprise, les requêtes touchées ressemblent à un usage ordinaire de contexte long. Le chiffre de 155 correspond à des réponses, et non à des clients distincts ; le rapport ne dit pas comment les clients concernés ont été prévenus, au-delà d'une mise à jour de la page de statut lors de la désactivation du modèle, ni quelle était la sensibilité des données exposées. D'autres opérateurs utilisant des configurations SGLang similaires et des versions antérieures ont pu courir le même risque, que le rapport n'évalue pas.