27 октября 2026 г.
В ответах модели всплыли чужие инвойсы и код: Cloudflare насчитала 155 таких ответов
155 ответов GLM-5.3 на Workers AI с 27 августа по 9 сентября 2026 несли чужой вывод вместо своего.
Гади Эврон гонял запросы через OpenRouter и получил в ответе пути к чужой машине и китайские туториалы.
Глава Knostic Research 7 сентября вывел источник на Cloudflare Workers AI, 8 сентября воспроизвёл баг и отправил отчёт через HackerOne. Ответ выглядел как галлюцинация, а был чужим выводом: имена людей, инвойсы, исходный код, пути файловой системы.
Не хотите разбираться сами? Внедряем ИИ в ваш бизнес: задачи без лимита, одна цена в месяц, отмена в любой момент.
Ловилось только на длинных промптах, примерно от 700 тысяч токенов. Cloudflare насчитала 155 таких ответов и говорит, что другие модели Workers AI не затронуты.
Корень поломки. GLM-5.3 выкатили с окном в 1 048 576 токенов, а KV-пул на prefill-GPU вмещал 681 280. Промпт, который не влезал, помечался отклонённым и подменялся однотокеновой заглушкой, но сам запрос не прерывался. Decode дочитывал чужие страницы кэша.
Все 155 ответов пришлись на промпты длиннее 681 280 токенов. Задеть могло только тех, кто с 27 августа по 9 сентября 2026 гонял в GLM-5.3 промпты такого размера.
Утёк вывод инференса, ключи и учётные данные остались на месте. Злого умысла Cloudflare не нашла: все 155 обращений укладываются в обычную работу с длинным контекстом.
Что делать операторам. Для своих деплоев SGLang в режиме disaggregated prefill/decode Cloudflare даёт пять шагов: обновиться до v0.5.22 или новее (патчи #36988 и #38935), включить deferred KV release на обеих ролях и ограничить батчи Mooncake-трансфера, поднять детекцию порчи флагами --disaggregation-enable-kv-checksum и --kv-canary, убрать лишние abort'ы от балансировщика, а после любой правки конфига сверять размер KV-пула с context length на каждой ноде. Раньше слишком длинный запрос доезжал до decode заглушкой. На v0.5.22 он отбивается на входе, до bootstrap.
9 сентября Cloudflare подтвердила инцидент за 25 минут, в 14:00 UTC сняла модель с публичного доступа, в 14:35 нашла причину, в 19:40 вернула публике. Всего 5 часов 40 минут.
Патч #41023 включает deferred KV release по умолчанию с v0.5.21, так что следующие сборки SGLang приезжают с этой защитой из коробки.
* Meta Platforms Inc. признана в РФ экстремистской организацией, её деятельность запрещена; Facebook и Instagram заблокированы. Meta AI и другие продукты компании — продукты этой организации.
Первоисточник