클라우드플레어 GLM-5.3, 타인 데이터 노출 버그 9월 수정

클라우드플레어가 10월 27일(한국시간) Workers AI의 GLM-5.3에서 다른 고객의 요청 데이터가 답변에 섞였던 사고를 공개했습니다. 문제는 9월 9일 수정됐고, 모델 서비스도 같은 날 재개됐습니다.

어떤 답변에 다른 고객 데이터가 섞였나

영향 범위는 2026년 8월 27일부터 9월 9일까지 Workers AI에서 제공한 GLM-5.3(@cf/zai-org/glm-5.3)입니다. 클라우드플레어가 확인한 답변은 155건으로, 모두 입력 프롬프트가 681,280토큰을 넘었습니다.

회사는 다른 Workers AI 모델은 영향을 받지 않았다고 밝혔습니다. 자체 시험과 연구자의 재현 요청을 제외한 기록은 시점과 분량이 통상적인 긴 문맥 사용과 부합했으며, 의도적 악용의 증거는 찾지 못했다고 설명했습니다.

거절된 요청이 이전 요청의 캐시를 읽은 이유

KV 캐시는 AI가 답변을 생성할 때 재사용하는 중간 계산 데이터로, 브라우저 캐시나 대화 기억 기능과는 다릅니다. 당시 입력을 처리하는 prefill 단계의 캐시에는 681,280토큰만 들어갔지만, 클라우드플레어가 설정한 문맥 한도는 1,048,576토큰이었습니다.

여기에 SGLang의 입력 처리·답변 생성(decode) 분리 환경에서 거절 요청을 처리하는 버그가 겹쳤습니다. 용량을 넘긴 입력은 1토큰짜리 임시 입력으로 바뀌었지만 decode는 전체 전송이 끝난 것으로 받아들여, 이전 요청의 데이터가 남은 캐시까지 읽었습니다. 공식 도표는 정상 경로에서 현재 요청이 쓴 페이지 8개를 읽는 모습과, 오류 경로에서 현재 요청이 쓴 1개와 이전 데이터가 남은 7개를 읽는 모습을 예시로 비교합니다.

캐시 용량을 늘리고 거절 요청의 전달을 막았다

회사는 9월 8일 신고를 받은 뒤 다음 날 모델을 잠시 중단했습니다. 캐시가 전체 문맥을 담도록 설정을 고치고, 거절된 요청은 캐시 전송 전에 종료하도록 엔진을 패치한 뒤 9월 9일 서비스를 재개했습니다.

클라우드플레어는 분리형 SGLang 운영자에게 0.5.22 이상으로 업데이트하거나 필요한 패치를 적용하라고 권고했습니다. 모델이나 메모리 관련 설정을 바꿀 때마다 각 prefill·decode 노드의 실제 캐시 용량과 문맥 한도를 비교하고, 캐시가 작으면 한도를 낮추라는 권고입니다.

출시 전 시험에서 회사는 HTTP 상태 코드와 성능만 확인하고, 답변 내용과 일관성은 검증하지 않았다고 밝혔습니다. HTTP 200이 돌아오는지만으로는 다른 요청의 데이터가 섞이지 않았는지 알 수 없었던 것입니다.