Cloudflare korrigjoi një cenueshmëri në modelin GLM-5.3 të Workers AI (@cf/zai-org/glm-5.3), që lejonte përfshirjen e të dhënave të klientëve të tjerë në përgjigje. Nga 27 gushti deri më 9 shtator 2026 u prekën 155 përgjigje, të gjitha ndaj kërkesave me mbi 681,280 tokenë. Asnjë model tjetër në Workers AI nuk u prek dhe nuk u gjetën prova shfrytëzimi të qëllimshëm.
Studiuesi Gadi Evron nga Knostic e raportoi problemin më 8 shtator përmes HackerOne. Cloudflare e riprodhoi mëngjesin pasues dhe e çaktivizoi modelin brenda 40 minutash nga shpallja e incidentit. Shërbimi u rikthye më 9 shtator, pas korrigjimit të konfigurimit dhe motorit të inferencës.
Shkaku ishte ndërthurja e një konfigurimi të gabuar me një defekt në motorin me burim të hapur SGLang. Modeli mbështeste një kontekst prej 1,048,576 tokenësh, por cache KV në GPU-të e fazës prefill mbante vetëm 681,280. Kërkesat që tejkalonin këtë kapacitet nuk ndërpriteshin siç duhej; faza decode përdorte pjesërisht të dhëna të mbetura nga kërkesat e mëparshme.
Cloudflare e zgjeroi kapacitetin e cache në rreth 2.04 milionë tokenë dhe ndryshoi motorin që kërkesat e refuzuara të ndaleshin përpara alokimit ose transferimit të të dhënave KV. Kompania e publikoi raportin në koordinim me SGLang dhe po punon me mirëmbajtësit për trajtimin e defekteve të ngjashme.
Burimi: Hacker News — lexoni artikullin e plotë në anglisht.
