Cloudflare призна на 26 октомври, че AI моделът GLM-5.3 в платформата ѝ Workers AI е върнал на клиенти 155 отговора с данни от чужди заявки. Изтичането на данни в Cloudflare е продължило от 27 август до 9 септември и е рядък, документиран пример как споделените графични ускорители могат да смесят информацията на различни компании.
Накратко
- Засегнати са само заявки към GLM-5.3, по-дълги от 681 280 токена, изпратени между 27 август и 9 септември.
- Причината е несъответствие в паметта на сървърите и бъг в софтуера SGLang, който не върнал грешка за твърде дългите заявки.
- Cloudflare не е открила умишлена злоупотреба, а проблемът е поправен още на 9 септември.
Как една твърде дълга заявка е отворила чужди данни
Workers AI е услуга, през която разработчиците пускат отворени езикови модели на сървърите на Cloudflare и плащат на заявка. GLM-5.3 на китайската компания Z.ai е обявен там с контекстен прозорец от 1 048 576 токена, тоест може да приеме огромни документи или цели кодови бази наведнъж.
Сървърите обаче са работили на две отделни групи ускорители. Първата обработва входящия текст и пази междинния резултат в т.нар. KV кеш, а втората генерира отговора. Според техническия разбор на Cloudflare, потвърден и от TokenPost, кешът на първата група е събирал само 681 280 токена – с близо 370 000 по-малко от обещания прозорец.
Компанията е знаела за разликата и е очаквала, че софтуерът за обслужване на модела SGLang ще отхвърли по-дългите заявки с грешка. Вместо това той е заменял прекалено дългия текст с еднотокенов заместител и го е пращал нататък. Втората група ускорители е генерирала отговор върху стари страници в кеша, останали от заявки на други клиенти малко преди това.
Клиентът е получавал нормален отговор с код HTTP 200 и не е имал причина да подозира нещо.
Шест седмици от поправката до публичното признание
Проблемът е открит от изследователя по сигурността Гади Еврон от компанията Knostic, който го е докладвал през програмата за награди за открити уязвимости на Cloudflare в HackerOne. Екипът по сигурност е възпроизвел изтичането с два независими акаунта и е спрял модела още същия ден.
| Дата (UTC) | Какво се случва |
|---|---|
| 27 август | GLM-5.3 стартира в Workers AI – уязвимостта е налице от първия ден |
| 8 септември | Гади Еврон (Knostic) докладва проблема със скрипт за възпроизвеждане |
| 9 септември, 13:22 | Cloudflare обявява инцидент след успешно възпроизвеждане |
| 9 септември, 14:00 | Моделът е скрит, заявките към него връщат грешка 400 |
| 9 септември, 19:40 | GLM-5.3 е върнат с поправена конфигурация и закърпен софтуер |
| 26 октомври | Публичен разбор на инцидента в блога на Cloudflare |
Поправката е двойна. Cloudflare е увеличила кеша до около 2,04 млн. токена, така че да побира целия обявен прозорец, и е внедрила корекция, с която отхвърлените заявки връщат грешка. Поправки в самия SGLang са влезли във версиите от 0.5.20 до 0.5.22.
Компанията подчертава, че останалите модели в платформата не са засегнати. „GLM 5.3 беше единственият модел, засегнат от този бъг“, пише Cloudflare. Засегнатите заявки по време и обем приличат на обикновена работа с дълъг контекст и няма следи от умишлена атака. Колко клиенти точно са пострадали, не се казва – само че са „малък брой“. Не става ясно и дали те са били уведомени поотделно, преди разборът да стане публичен.
Защо историята напомня за Cloudbleed
Cloudflare вече е минавала през подобен сценарий. През февруари 2017 г. бъг в HTML парсера на сървърите ѝ, известен като Cloudbleed, вмъкваше части от паметта – включително чужди данни – в отговорите към други сайтове. Тогава проблемът беше открит от Тейвис Орманди от Google Project Zero.
Разликата е в мащаба и в типа данни. Сега става дума за 155 отговора, но съдържанието им е промпт на AI модел, а в дълги заявки компаниите често пращат договори, код, вътрешни документи и лични данни на клиенти. Освен това бъгът е в отворен софтуер, който ползват и много други доставчици на AI. Подобни случаи вече имаше и при споделените чатове в Meta Muse, макар и по друга причина.
На какво да внимават компаниите, които ползват AI през API
За обикновения потребител рискът е косвен: засегнати са фирми, които ползват GLM-5.3 през Cloudflare, а не хора, които пишат в ChatGPT или Gemini. Ако обаче ваша компания – включително в България – е пращала дълги заявки към този модел в периода от 27 август до 9 септември, има смисъл да провери логовете си.
- Потърсете заявки към @cf/zai-org/glm-5.3, по-дълги от 681 280 токена, в засегнатия период. Само те са можели да получат или да отдадат чужди данни.
- Ако в тях е имало лични данни, оценете случая по GDPR заедно с длъжностното лице по защита на данните. При нарушение на сигурността регулаторът у нас е Комисията за защита на личните данни.
- Ако сами обслужвате модели със SGLang, Cloudflare препоръчва версия 0.5.22 или по-нова и проверка дали кешът побира целия контекстен прозорец.
Нашата оценка: Cloudflare е реагирала бързо – моделът е спрян за по-малко от денонощие след доклада – и е публикувала необичайно подробен разбор. Шест седмици мълчание между поправката и публичното признание обаче са дълъг срок за клиенти, чиито данни може да са попаднали другаде. Случаят е и добър аргумент да не изпращате в облачен AI повече лични данни, отколкото задачата изисква – съвет, който важи и за личните настройки в ChatGPT и Gemini. Други рискове от AI моделите следим в рубриката AI рискове, включително твърдението на Cohere за модела Qwen.
_08.png){kind=link}