Cloudflare: 155 Antworten von GLM-5.3 auf Workers AI enthielten Daten anderer Kunden

Markus Seyfferth

Autor Dr. Web

27. Okt. 2026

2 Min. Lesezeit

Knapp zwei Wochen lang lieferte Cloudflares Plattform Workers AI auf sehr lange Anfragen an GLM-5.3 Antworten mit Text aus den Anfragen anderer Kunden. Ursache waren eine zu knappe Speichereinstellung und ein Programmfehler der Open-Source-Software SGLang. Firmen, die SGLang selbst betreiben, sollten auf Version 0.5.22 aktualisieren.

Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügen

Stellen Sie sich vor, Ihr Entwicklerteam lädt den gesamten Quellcode in eine Anfrage und findet in der Antwort Passagen aus dem Projekt einer fremden Firma. Zwischen dem 27. August und dem 9. September erhielten Kunden von Workers AI 155 solcher Antworten, alle auf Anfragen mit mehr als 681.280 Token.^[1] Hinweise auf gezielte Angriffe fand Cloudflare keine.

Auf einen Blick

Das Wichtigste in Kürze

Der Speicher für das Einlesen der Anfragen fasste 681.280 Token, freigegeben war GLM-5.3 für 1.048.576.
SGLang ersetzte zu lange Anfragen durch einen Platzhalter, die Antwort entstand aus Resten früherer Anfragen.
Cloudflare sperrte GLM-5.3 am 9. September und gab das Modell repariert wieder frei.

Wie gelangten fremde Daten in die Antworten?

Metallspind mit Schirm und Schild „Nicht Ihrer“ — Workers AI verteilt Sprachmodellverarbeitung auf zwei GPU-Gruppen: erste liest Anfragen ein und speichert sie im KV-Cache, zweite generiert Antworten daraus

Workers AI verteilt die Arbeit eines Sprachmodells auf zwei Gruppen von Grafikprozessoren. Die erste Gruppe liest die Anfrage ein und legt das Ergebnis im KV-Cache ab, einem Zwischenspeicher aus Seiten fester Größe, die zweite Gruppe erzeugt daraus die Antwort. Auf den Einlese-Rechnern passten nur 681.280 Token in den Cache, freigegeben hatte Cloudflare GLM-5.3 aber für 1.048.576. Cloudflare kannte die Differenz und verließ sich auf eine Fehlermeldung der Software.^[1]

SGLang wies die zu langen Anfragen ab, ersetzte sie aber durch einen Platzhalter aus einem einzigen Token und reichte sie weiter. Die Antwort-Rechner hatten Speicherseiten für die volle Länge reserviert, beschrieben wurde nur die erste. Auf den übrigen lagen Reste früherer Anfragen, weil die Software die Seiten zwischen zwei Anfragen nicht leert, um Rechenzeit zu sparen. Der Kunde bekam statt einer Fehlermeldung den Statuscode 200 für Erfolg und eine stimmige Antwort mit fremdem Inhalt.^[1]

Wie neu ist diese Art von Fehler?

Denselben Programmfehler hatte ein anderer Anwender dem SGLang-Team schon am 6. Juli gemeldet. Cloudflare arbeitet seit Monaten an gleichartigen Schwachstellen: Eine Speicherseite wird freigegeben oder neu vergeben, während eine andere Anfrage sie noch nutzt. Eine Fehlermeldung erscheint dabei nie.^[1]^[2]

Im August hatte Cloudflare einen Spectre-Angriff auf Workers offengelegt, bei dem Forscher das Zugangstoken eines fremden Kunden auslasen. 2024 zeigte die US-Sicherheitsfirma Trail of Bits mit LeftoverLocals, dass sich auf Grafikprozessoren mehrerer Hersteller Speicherreste fremder Prozesse auslesen lassen, genug, um die Antwort eines Sprachmodells mitzulesen.^[3]

Cloudflare hat vor der Freigabe nur Statuscodes und Tempo geprüft, nicht die Antworten. Genau dort standen 155-mal fremde Daten.
Michael Dobler, Herausgeber Dr. Web

GLM-5.3 auf Workers AI: zu wenig Speicher für das Kontextfenster

Der Vorfall bei Workers AI in Zahlen

155

Antworten enthielten Text aus den Anfragen anderer Kunden

13 Tage

lief GLM-5.3 mit zu kleinem Speicher, vom Start bis zur Sperre

40 Min.

vergingen von der Einstufung als Sicherheitsvorfall bis zur Sperre des Modells

47 Tage

lagen zwischen Reparatur und Veröffentlichung am 26. Oktober

Speicher und Kontextfenster in Token

Speicher vor der Korrektur

681.280

Freigegebenes Kontextfenster

1.048.576

Speicher nach der Korrektur

rund 2,04 Mio.

Jede Anfrage über 681.280 Token löste den Fehler aus. Seit der Korrektur fasst der Speicher der Einlese-Rechner etwa das Doppelte des Kontextfensters.

Was bedeutet der Fall für Unternehmen in der EU?

Stehen in den Anfragen Kundendaten, verarbeitet Cloudflare sie für Geschäftskunden als Auftragsverarbeiter und muss eine Datenpanne laut Vertrag unverzüglich melden.^[4] Ab Kenntnis der Panne hat der Kunde nach Artikel 33 der DSGVO 72 Stunden für die Meldung an die Aufsicht, dokumentieren muss er jede Panne.^[5] Diese Pflicht bleibt, falls die EU-Staaten die Meldepflicht auf Fälle mit hohem Risiko beschränken. Ob Cloudflare die betroffenen Kunden informiert hat, schreibt das Unternehmen im Bericht nicht.

Nutzung prüfen: Lief GLM-5.3 zwischen dem 27. August und dem 9. September über Ihr Workers-AI-Konto, fragen Sie gerne bei Cloudflare nach und dokumentieren Sie, ob Ihre Anfragen betroffen waren.
Eigene SGLang-Server aktualisieren: Betreiben Sie SGLang mit getrennten Einlese- und Antwort-Rechnern, empfehlen Cloudflare und die SGLang-Entwickler Version 0.5.22. Nach jeder Änderung gleichen Sie gerne Speichergröße und Kontextfenster ab.^[1]^[2]

Für Anfragen mit Geschäftsgeheimnissen empfiehlt sich eine Instanz, die Sie mit niemandem teilen. Welche Daten ein KI-Agent sehen darf, beschreibt unser Beitrag zu Zugriffsrechten, die Modelle zeigt unser Vergleich der KI-Textgeneratoren.