Cloudflares AI lækkede 155 svar fra andre kunder

Cloudflares AI-model GLM-5.3 lækker i to uger tekst fra andre kunders prompts, fordi en GPU-hukommelse var for lille og en fejl i motoren SGLang sendte gamle data videre. Det betyder noget, fordi kundernes fortrolige data kunne ende i andre brugeres svar. Cloudflare har udvidet hukommelsen, patchet motoren, testet rettelserne og genåbnet servicen uden tegn på misbrug.

Forestil dig et bibliotek, hvor en bibliotekar skal skrive svar på sedler fra besøgende. Hvis sedlen er for lang til at passe på skrivebordet, smider hun den ikke ud — hun skriver bare videre oven i de gamle sedler, der stadig ligger der. Så kan svaret pludselig indeholde ord fra en helt anden besøgendes seddel. Det er i bund og grund det, der skete hos Cloudflare: 155 svar fra deres AI-model GLM-5.3 indeholdt tekst fra andre kunders prompts. Det ramte kun meget lange prompts — over 681.280 token, hvor en token er en lille bid tekst, som AI-modeller regner med. Fejlen opstod mellem 27. august og 9. september 2026, og Cloudflare har fundet ingen tegn på bevidst misbrug.

Baggrunden var to problemer, der faldt sammen. Cloudflare havde sat modellen op med plads til 1.048.576 token — det kaldes kontekstvinduet, altså hvor meget tekst modellen kan »holde i hovedet« ad gangen. Men hukommelsen på de GPU'er, der forbereder prompts (altså kundernes forespørgsler), havde kun plads til 681.280 token. Cloudflare kendte mismatchet før lanceringen, men troede ikke, det var et problem, fordi egne tests returnerede succesfulde svar. Det andet problem lå i inferensmotoren SGLang — den software, der får modellen til at levere svar. Når en prompt ikke fik plads, blev den erstattet af en pladsholder på ét token. Men motoren afbrød ikke anmodningen; den sendte cachen videre til den node, der skriver svaret. Den node antog, at cachen var overskrevet med den fulde prompt — men det meste af det gamle indhold lå der stadig. Svaret blev derfor skabt over rester af andre kunders data.

En sikkerhedsforsker, Gadi Evron fra firmaet Knostic, opdagede, at meget lange prompts nogle gange returnerede tekst fra andre brugeres sessioner, og meldte det den 8. september gennem Cloudflares HackerOne-program — et system, hvor forskere kan melde sikkerhedsfejl. Cloudflare genskabte fejlen næste morgen og tog modellen offline inden for 40 minutter. Samme dag blev servicen genåbnet med en rettet konfiguration.

Begge problemer er nu løst. GPU-hukommelsen er frigjort, så puljen nu rummer omkring 2,04 millioner token — cirka det dobbelte af kontekstvinduet. Motoren er desuden patchet, så afviste anmodninger stopper, før nogen cache overføres. Rettelserne er foreslået til SGLang-projektet, og vedligeholderne har allerede mergeret en lignende løsning. Begge ændringer er testet mod forskerens gengivelsesscript og Cloudflares egne canary-tests, før modellen blev genåbnet. Cloudflare oplyser, at ingen andre modeller på Workers AI var berørt, og at de identificerede anmodninger i timing og volumen ligner almindelig lang-kontekst-brug.