Cloudflare ได้เผยแพร่รายงานเหตุการณ์โดยละเอียดที่อธิบายว่าจุดบกพร่องในการจัดการแคชในแพลตฟอร์ม AI แบบไร้เซิร์ฟเวอร์ทำให้ผู้ใช้อย่างน้อย 155 รายที่ใช้โมเดล GLM-5.3 ได้รับการตอบกลับที่มีส่วนย่อยของข้อความแจ้งและเอาต์พุตของลูกค้ารายอื่น รายงานซึ่งเผยแพร่เมื่อวันที่ 26 ตุลาคมเป็นการเปิดเผยข้อมูลร่วมกันควบคู่ไปกับโครงการเครื่องมืออนุมานโอเพ่นซอร์ส SGLang นำเสนอภาพรวมสาธารณะที่หายากภายในระบบการให้บริการ LLM ของผู้เช่าหลายราย - และคำเตือนเกี่ยวกับสมมติฐานด้านความปลอดภัยของหน่วยความจำ GPU

พบรอยรั่วได้อย่างไร For more context on this story, see our ongoing artificial intelligence updates.

จากข้อมูลของ Cloudflare นักวิจัยด้านความปลอดภัย Gadi Evron จาก Knostic ได้แจ้งเตือนบริษัทเมื่อวันที่ 8 กันยายน 2026 ผ่านทางโปรแกรมรางวัล Bug Bounty ของ HackerOne Evron รายงานว่าข้อความแจ้งที่ยาวมากที่ส่งไปยังโมเดล GLM-5.3 บนแพลตฟอร์ม Workers AI ของ Cloudflare บางครั้งส่งคืนข้อความที่เป็นของเซสชันของผู้ใช้รายอื่น Cloudflare เกิดปัญหาซ้ำในเช้าวันรุ่งขึ้นและปิดการใช้งานโมเดลในวันเดียวกัน โดยกู้คืนในวันที่ 9 กันยายนหลังจากปรับใช้การแก้ไข

โมเดลที่ได้รับผลกระทบคือ @cf/zai-org/glm-5.3 ซึ่งเป็นโมเดลการเข้ารหัสแบบตัวแทนจาก Z.ai ที่ Cloudflare ให้บริการผ่าน Workers AI ซึ่งเป็นแพลตฟอร์มการอนุมานแบบไร้เซิร์ฟเวอร์ของบริษัท Cloudflare ยืนยันว่าไม่มีโมเดลอื่นที่โฮสต์บนแพลตฟอร์มได้รับผลกระทบ

สิ่งที่เกิดขึ้นจริง

เหตุการณ์นี้ย้อนกลับไปถึงปัญหาที่ทับซ้อนกันสองปัญหา ประการหนึ่งใช้งานได้และอีกปัญหาอยู่ที่ตัวเครื่องยนต์เอง

ประการแรกการกำหนดค่าผิดพลาด Cloudflare ปรับใช้ GLM-5.3 ด้วยหน้าต่างบริบท 1,048,576 โทเค็น แต่พูลแคชคีย์-ค่า (KV) บน GPU ที่เติมล่วงหน้านั้นมีพื้นที่สำหรับโทเค็น 681,280 เท่านั้น บริษัทรับทราบว่าได้ทราบถึงความไม่ตรงกันนี้ก่อนที่จะเปิดตัว และคาดว่ากลไกการอนุมานจะปฏิเสธคำขอที่มีความยาวเกินได้อย่างปลอดภัย

ประการที่สองข้อผิดพลาดของเครื่องยนต์ ในโหมดเติม/ถอดรหัสแบบแยกส่วน สถาปัตยกรรมที่ Workers AI ใช้ โดยกลุ่ม GPU หนึ่งตัวจะประมวลผลพร้อมท์และส่งต่อแคช KV ที่เป็นผลลัพธ์ไปยังกลุ่ม GPU แยกต่างหากที่สร้างการตอบสนอง SGLang จัดการคำขอที่มีความยาวเกินอย่างไม่ถูกต้อง พรอมต์ที่ไม่พอดีกับพูลถูกทำเครื่องหมายภายในว่าถูกปฏิเสธและแทนที่ด้วยตัวยึดตำแหน่งโทเค็นเดียว แต่แทนที่จะยกเลิกคำขอและส่งกลับข้อผิดพลาดของไคลเอ็นต์ ขั้นตอนการกรอกข้อมูลล่วงหน้าจะสร้างแคช KV สำหรับพร้อมต์ตัวยึดตำแหน่งและถ่ายโอนไปยังโหนดถอดรหัส ซึ่งจากนั้นจะสร้างการตอบสนองที่ปะปนกับข้อมูลที่เหลือจากคำขอก่อนหน้าที่แชร์เพจหน่วยความจำเดียวกัน

ผลลัพธ์: ระหว่างวันที่ 27 สิงหาคมถึง 9 กันยายน ลูกค้าจำนวนไม่มากที่ใช้โมเดลนี้ได้รับการตอบกลับที่มีข้อมูลจากคำขอของลูกค้ารายอื่นๆ ที่เกิดขึ้นก่อนหน้าพวกเขาไม่นาน โดยรวมแล้วมีการตอบกลับ 155 ครั้ง ซึ่งทั้งหมด Cloudflare พบว่ามีการแจ้งโทเค็นมากกว่า 681,280 รายการ

ไม่มีหลักฐานของการแสวงหาผลประโยชน์โดยเจตนา

Cloudflare ระบุว่าหลังจากไม่รวมการทดสอบของตัวเองและคำขอตรวจสอบความถูกต้องของนักวิจัย คำขอที่ได้รับผลกระทบมีความสอดคล้องกันในด้านระยะเวลาและปริมาณโดยใช้บริบทแบบยาวตามปกติ และบริษัทไม่พบหลักฐานว่ามีใครจงใจใช้ประโยชน์จากข้อบกพร่องนี้ เนื่องจากทุกคำขอที่ได้รับผลกระทบเกินความจุของพูลที่มีขนาดต่ำกว่าปกติ หน้าต่างเปิดรับแสงจึงถูกจำกัดไว้อย่างแน่นหนา ซึ่งถือเป็นข้อดีที่เกิดจากการกำหนดค่าที่ไม่ถูกต้องอันเป็นสาเหตุของปัญหา

การแก้ไข: พูลที่ใหญ่ขึ้นและเส้นทางความล้มเหลวที่ปลอดภัยยิ่งขึ้น

การแก้ไขได้ผลกับความล้มเหลวทั้งสองชั้น Cloudflare กำหนดค่าการปรับใช้ GLM-5.3 ใหม่เพื่อให้ตรงกับการกำหนดค่า GLM-5.2 ทำให้มีหน่วยความจำ GPU เพียงพอที่พูล KV ที่เติมไว้ล่วงหน้าจะเก็บโทเค็นได้ประมาณ 2.04 ล้านโทเค็น ซึ่งประมาณสองเท่าของความยาวบริบทของโทเค็น 1,048,576 ของโมเดล พรอมต์ที่เหมาะกับหน้าต่างบริบทตอนนี้จะพอดีกับพูลเสมอ

แต่บริษัทยังเน้นย้ำอีกว่าการพึ่งพาขนาดพูลเพียงอย่างเดียวนั้นเปราะบาง การเปลี่ยนแปลงในเชิงปริมาณ ความเท่าเทียมของเทนเซอร์ ขนาดกราฟ CUDA หรือเวอร์ชันโมเดลในอนาคต สามารถเปลี่ยนขนาดพูลได้อย่างเงียบๆ ดังนั้นจึงได้แก้ไขเส้นทางการปฏิเสธของ SGLang ด้วยเช่นกัน เพื่อให้มั่นใจว่าคำขอที่ถูกปฏิเสธจะยกเลิกอย่างหมดจดแทนที่จะสร้างและถ่ายโอนแคชสำหรับตัวยึดตำแหน่ง การเปลี่ยนแปลงทั้งสองได้รับการตรวจสอบโดยเทียบกับสคริปต์การทำซ้ำของผู้วิจัยและการทดสอบ canary-marker ของ Cloudflare ก่อนที่แบบจำลองจะได้รับการกู้คืน และการแก้ไขได้มีส่วนสนับสนุนต้นน้ำให้กับผู้ดูแล SGLang

เหตุใดหน่วยความจำ GPU ที่ใช้ร่วมกันจึงเป็นคำถามเพื่อความปลอดภัย

รายงานอธิบายแนวทางปฏิบัติที่จะทำให้นักพัฒนาแอปพลิเคชันจำนวนมากประหลาดใจ: โดยทั่วไปกลไกการอนุมานจะไม่ลบหน้าแคช KV ระหว่างคำขอ เนื่องจากคำขอถัดไปจะเขียนทับหน้าเหล่านั้น นี่เป็นการแลกเปลี่ยนประสิทธิภาพโดยเจตนา ซึ่งพบได้ทั่วไปในกลไกการอนุมาน แต่ดังที่เหตุการณ์นี้แสดงให้เห็น เส้นทางใดๆ ที่ทำให้เกิดการตอบสนองก่อนที่เพจเหล่านั้นจะถูกเขียนทับโดยสมบูรณ์จะเปลี่ยนการเพิ่มประสิทธิภาพประสิทธิภาพให้เป็นเวกเตอร์การรั่วไหลของข้อมูล

การเปิดเผยดังกล่าวเกิดขึ้นกับชุมชนนักพัฒนา: เรื่องราวมีถึง 123 คะแนนใน Hacker News ภายในไม่กี่ชั่วโมง โดยมีการอภิปรายมุ่งเน้นไปที่โหมดความล้มเหลว — คำขอที่ควรจะล้มเหลวอย่างดังแทนที่จะดำเนินการอย่างเงียบๆ ในสถานะที่เสียหาย — สะท้อนบทเรียนคลาสสิกจากวิศวกรรมระบบแบบกระจาย

บทเรียนที่กว้างขึ้นสำหรับโครงสร้างพื้นฐาน AI

เหตุการณ์ดังกล่าวเป็นเครื่องเตือนใจว่าขณะนี้ขอบเขตการรักษาความปลอดภัยของแอปพลิเคชัน AI ได้ขยายลึกเข้าไปในโครงสร้างพื้นฐานการอนุมาน โมเดลที่ให้บริการหลายผู้เช่าเน้นข้อมูลของลูกค้าจำนวนมากผ่านตัวเร่งความเร็วที่ใช้ร่วมกัน พูลแคชที่ใช้ร่วมกัน และสถาปัตยกรรมที่แปลกใหม่มากขึ้น เช่น การกรอกข้อมูลล่วงหน้าแบบแยกส่วน และการเข้าถึงหน่วยความจำโดยตรงระยะไกล ความไม่ตรงกันเล็กน้อยระหว่างหน้าต่างบริบทที่โฆษณาของโมเดลและความจุทางกายภาพที่จัดเตรียมไว้เพื่อให้บริการก็เพียงพอแล้วที่จะละเมิดการแยกผู้เช่า

สำหรับองค์กรที่สร้างบนแพลตฟอร์ม AI ไร้เซิร์ฟเวอร์ สิ่งที่ได้รับจากรายงานของ Cloudflare นั้นมีสองเท่า ได้แก่ ข้อบกพร่องการแยกผู้เช่าในการให้บริการ LLM นั้นเกิดขึ้นจริงและได้เกิดขึ้นแล้วในการผลิต และเวลาตอบสนองของผู้ขาย — น้อยกว่า 24 ชั่วโมงนับจากรายงานถึงปิดการใช้งาน หนึ่งวันในการแก้ไขและกู้คืน — คือมาตรฐานของความขยันหมั่นเพียรต่อความต้องการจากผู้ให้บริการทุกรายที่จัดการพร้อมท์ที่ละเอียดอ่อน

---

Stay Ahead of AI

Get the latest AI news, analysis, and breakthroughs — all in one place.

Read more AI news →