Zwei Wochen lang schickte das KI-Modell GLM-5.3 auf Cloudflares Plattform Workers AI einzelnen Kunden Textstücke aus fremden Anfragen zurück, insgesamt in 155 Antworten. Ausgelöst hat den Fehler eine Einstellung, die Cloudflare vor der Freigabe kannte und für harmlos hielt. Firmen mit Kundendaten in sehr langen Prompts sollten jetzt prüfen, ob eine meldepflichtige Datenpanne vorliegt.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenAm 8. September meldete der Sicherheitsforscher Gadi Evron von der Firma Knostic über die Plattform HackerOne, dass sehr lange Prompts an GLM-5.3 manchmal Text aus den Anfragen anderer Nutzer lieferten. Cloudflare nahm das Modell am nächsten Tag vom Netz und gab GLM-5.3 am Abend repariert wieder frei.[1] Den Bericht dazu veröffentlichte der Konzern erst am 26. Oktober.
Das Wichtigste in Kürze
- Vom 27. August bis 9. September enthielten 155 Antworten von GLM-5.3 Daten aus Anfragen anderer Kunden.
- Betroffen waren nur Prompts mit mehr als 681.280 Tokens, gezielten Missbrauch fand Cloudflare nicht.
- Ursache waren ein zu kleiner Zwischenspeicher und ein seit Juli bekannter Fehler in der Open-Source-Software SGLang.
- Betreiber eigener SGLang-Server sollten auf Version 0.5.22 aktualisieren.
Wie gerieten fremde Daten in die Antworten?
Das Modell stammt vom chinesischen Anbieter Z.ai, auch bekannt als Zhipu, Cloudflare betreibt GLM-5.3 aber auf eigenen Servern. Beim Lesen eines Prompts legen Sprachmodelle einen Zwischenspeicher an. Die Software SGLang, die das Modell auf den Servern ausführt, verwaltet diesen Zwischenspeicher in Speicherseiten, die nach einer Anfrage nicht gelöscht, sondern von der nächsten überschrieben werden. Eine Gruppe von Grafikprozessoren liest den Prompt ein, eine zweite schreibt die Antwort.[1]
GLM-5.3 nahm Prompts bis 1.048.576 Tokens an, der Zwischenspeicher der ersten Gruppe fasste nur 681.280. Cloudflare kannte diese Differenz und erwartete bei zu langen Prompts eine Fehlermeldung. SGLang wies solche Anfragen intern zwar ab, reichte sie aber mit einem Platzhalter aus einem Token weiter. Die zweite Prozessorgruppe las alle reservierten Seiten aus, obwohl nur eine neu beschrieben war. In den übrigen standen Reste früherer Anfragen.
Statt einer Fehlermeldung bekam der Kunde den Statuscode 200, also die technische Meldung „Anfrage erfolgreich“, und eine stimmige Antwort. Vor der Freigabe hatte Cloudflare nach eigener Darstellung nur Statuscodes und Tempo gemessen, nicht den Inhalt der Antworten.[1] Den SGLang-Fehler hatte ein anderer Nutzer schon am 6. Juli gemeldet.[4]
Ist das ein Einzelfall?
Im März 2023 zeigte ChatGPT nach einem Fehler in der Programmbibliothek redis-py Nutzern die Chat-Titel anderer an, bei 1,2 Prozent der aktiven Plus-Abonnenten auch Teile der Zahlungsdaten.[2] ChatGPT damals und GLM-5.3 jetzt scheiterten an der Mandantentrennung: Viele Kunden teilen sich Speicher und Server, eine falsche Zuordnung genügt. Auch der Einbruch beim Hoster Railway traf im Oktober viele Kunden einer gemeinsamen Plattform zugleich.
Eine Schutzfunktion hatte Cloudflare bereits gebaut: Jede Speicherseite bekommt eine Kennung, die vor dem Lesen geprüft wird. Der Prototyp lief Mitte August auf dem Vorgänger GLM-5.2 und wurde kurz darauf wegen Zuverlässigkeitsproblemen abgeschaltet.[1] Zwei Wochen später ging GLM-5.3 online.
Cloudflare hat geprüft, ob GLM-5.3 antwortet, aber nicht, wessen Daten in der Antwort stehen.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Firmen in Deutschland jetzt tun?
Gelangen personenbezogene Daten unbefugt zu Dritten, liegt eine Datenpanne im Sinne der DSGVO vor. Als Auftragsverarbeiter muss Cloudflare die Panne dem Kunden unverzüglich melden, der Kunde als Verantwortlicher der Aufsicht binnen 72 Stunden, sofern ein Risiko für die Betroffenen besteht.[3] Ob Cloudflare die Kunden hinter den 155 Antworten benachrichtigt hat, geht aus dem Bericht nicht hervor. Die EU-Staaten wollen die Meldepflicht auf Fälle mit hohem Risiko beschränken, noch gilt die 72-Stunden-Frist.
- Fragen Sie bei Cloudflare nach, falls Ihr Team GLM-5.3 zwischen dem 27. August und dem 9. September mit sehr langen Prompts genutzt hat.
- Halten Sie den Vorgang im eigenen Verzeichnis der Datenpannen fest, auch ohne Meldung.
- Betreiben Sie SGLang selbst, gleichen Sie auf jedem Knoten die Größe des Zwischenspeichers mit der zulässigen Promptlänge ab.
- Prüfen Sie in Tests von KI-Diensten den Inhalt der Antworten statt nur den Statuscode. Klären Sie vorab, welche Daten überhaupt in einen Prompt gehören.
Quellen
4 Quellen anzeigenQuellen ausblenden
- CloudflareCross-request KV cache exposure in the GLM-5.3 Workers AI model, and our remediation with SGLang (Kevin Flansburg und Michelle Chen)
- OpenAIMarch 20 ChatGPT outage: Here’s what happened
- Amtsblatt der EUVerordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Artikel 4 Nr. 12 und Artikel 33
- SGLang auf GitHubIssue #30233
Mehr Newshunger?
- Altman glaubt nicht mehr, dass sich alle Sicherheitslücken schließen lassen
- Microsoft: Staatsnahe Hacker aus China griffen mit KI-Agenten über ConnectWise mehr als 2.250 Microsoft-365-Mandanten an
- Kimi K3.1 Pro: Moonshot hält das offene Modell bei Cyberangriffen bewusst unter Spitzenniveau
- Chinas KI-Modelle kosten 2026 fast doppelt so viel wie im Vorjahr
- Muse Spark Open: Meta stellt ein 816-Milliarden-Modell zum Download bereit
- Mit dem geknackten eMudhra-Schlüssel stellt mitmproxy Zertifikate für jede Website aus
