Cloudflare, sunucusuz yapay zeka platformundaki bir önbellek işleme hatasının, GLM-5.3 modeli kurulumunun en az 155 kullanıcısının diğer müşterilerin istem ve çıktılarının parçalarını içeren yanıtlar almasına nasıl neden olduğunu açıklayan ayrıntılı bir olay raporu yayınladı. SGLang açık kaynak çıkarım motoru projesiyle birlikte koordineli bir açıklama olarak 26 Ekim'de yayınlanan rapor, çok kiracılı LLM hizmetinin tesisatına nadir bir genel bakış ve GPU belleğinin güvenlik varsayımları hakkında bir uyarı sunuyor.
Sızıntı Nasıl Bulundu? For more context on this story, see our ongoing latest AI developments.
Cloudflare'e göre, Knostic'ten güvenlik araştırmacısı Gadi Evron, HackerOne hata ödül programı aracılığıyla şirketi 8 Eylül 2026'da uyardı. Evron, Cloudflare'in Workers AI platformundaki GLM-5.3 modeline gönderilen çok uzun istemlerin bazen diğer kullanıcıların oturumlarına ait metinleri döndürdüğünü bildirdi. Cloudflare ertesi sabah sorunu yeniden oluşturdu ve aynı gün modeli devre dışı bıraktı ve düzeltmeleri dağıttıktan sonra 9 Eylül'de modeli geri yükledi.
Etkilenen model @cf/zai-org/glm-5.3 idi; Cloudflare'in, şirketin sunucusuz çıkarım platformu olan Workers AI aracılığıyla hizmet verdiği, Z.ai'nin aracılı kodlama modeli. Cloudflare, platformda barındırılan başka hiçbir modelin etkilenmediğini doğruladı.
Aslında Ne Oldu
Olayın kökeni, biri operasyonel, diğeri motorun kendisinde olmak üzere birbiriyle örtüşen iki soruna dayanıyor.
İlk olarak, yanlış yapılandırma. Cloudflare, GLM-5.3'ü 1.048.576 jetonluk bir bağlam penceresiyle dağıttı, ancak önceden doldurulmuş GPU'larındaki anahtar-değer (KV) önbellek havuzunda yalnızca 681.280 jeton için yer vardı. Şirket, lansman öncesinde bu uyumsuzluğun farkında olduğunu kabul etti ve çıkarım motorunun aşırı uzunluktaki talepleri güvenli bir şekilde reddetmesini beklediğini kabul etti.
İkincisi, motor hatası. Bir GPU havuzunun istemi işlediği ve elde edilen KV önbelleğini yanıtı oluşturan ayrı bir GPU havuzuna aktardığı, Workers AI'nın kullandığı, ayrıştırılmış önceden doldurma/kod çözme modunda, SGLang aşırı uzunluk isteğini yanlış bir şekilde ele aldı. Havuza uymayan bir bilgi istemi dahili olarak reddedildi olarak işaretlendi ve tek jetonlu bir yer tutucuyla değiştirildi. Ancak, isteği iptal etmek ve bir istemci hatası döndürmek yerine, ön doldurma aşaması yer tutucu istemi için KV önbelleği oluşturdu ve onu kod çözme düğümüne aktardı; bu daha sonra aynı bellek sayfalarını paylaşan önceki isteklerden kalan verileri karıştıran bir yanıt üretti.
Sonuç: 27 Ağustos ile 9 Eylül arasında, modeli kullanan az sayıda müşteri, diğer müşterilerin kendi taleplerinden kısa bir süre önce yaptıkları taleplerden verileri içeren yanıtlar aldı. Toplamda 155 yanıt etkilendi; Cloudflare, bunların hepsinin 681.280 tokenden daha uzun istemlere yönelik olduğunu buldu.
Kasıtlı Sömürüye İlişkin Kanıt Yok
Cloudflare, kendi testlerini ve araştırmacının doğrulama isteklerini hariç tuttuktan sonra, etkilenen isteklerin zamanlama ve hacim açısından olağan uzun bağlam kullanımıyla tutarlı olduğunu ve şirketin, herhangi birinin hatayı kasıtlı olarak istismar ettiğine dair hiçbir kanıt bulamadığını belirtti. Etkilenen her istek, küçük boyutlu havuzun kapasitesini aştığı için maruz kalma penceresi sıkı bir şekilde sınırlandı; bu, soruna neden olan yanlış yapılandırmadan kaynaklanan bir umut ışığıydı.
Çözüm: Daha Büyük Havuzlar ve Daha Güvenli Bir Arıza Yolu
Düzeltme, başarısızlığın her iki katmanında da işe yaradı. Cloudflare, GLM-5.3 dağıtımını GLM-5.2 yapılandırmasıyla eşleşecek şekilde yeniden yapılandırdı ve ön dolum KV havuzunun artık yaklaşık 2,04 milyon token tutacak kadar GPU belleğini serbest bıraktı; bu, modelin 1.048.576 token içerik uzunluğunun kabaca iki katıdır. Bağlam penceresine uyan bir bilgi istemi artık her zaman havuza da uyuyor.
Ancak şirket aynı zamanda tek başına havuz boyutuna güvenmenin kırılgan olduğunu da vurguladı: nicemleme, tensör paralelliği, CUDA grafik boyutları veya gelecekteki bir model sürümünde yapılan değişiklikler havuz boyutunu sessizce değiştirebilir. Böylece SGLang'ın reddetme yolunu da yamalayarak, reddedilen bir isteğin, bir yer tutucu için önbellek oluşturup aktarmak yerine temiz bir şekilde iptal edilmesini sağladı. Her iki değişiklik de, model geri yüklenmeden önce araştırmacının çoğaltma komut dosyasına ve Cloudflare'in kendi kanarya işaretleyici testlerine göre doğrulandı ve düzeltmeler, SGLang geliştiricilerine yukarı yönde katkıda bulunuldu.
Paylaşılan GPU Belleği Neden Bir Güvenlik Sorusudur?
Rapor, birçok uygulama geliştiricisini şaşırtacak bir uygulamayı açıklıyor: çıkarım motorları genellikle istekler arasındaki KV önbellek sayfalarını sıfırlamaz, çünkü bir sonraki istek yalnızca bunların üzerine yazar. Bu, çıkarım motorlarında yaygın olan kasıtlı bir performans değiş tokuşudur, ancak bu olayın gösterdiği gibi, bu sayfaların üzerine tamamen yazılmadan önce bir yanıt oluşturulmasına izin veren herhangi bir yol, performans optimizasyonunu bir veri sızıntısı vektörüne dönüştürür.
Açıklama geliştirici topluluğunun kulağına ulaştı: Hikaye Hacker News'te birkaç saat içinde 123 puana ulaştı ve tartışmalar, arıza modunun (bozuk durumda sessizce ilerlemek yerine yüksek sesle başarısız olması gereken bir istek) nasıl dağıtılmış sistem mühendisliğinden alınan klasik dersleri yansıttığına odaklandı.
Yapay Zeka Altyapısı İçin Daha Geniş Bir Ders
Bu olay, yapay zeka uygulamalarının güvenlik sınırlarının artık çıkarım altyapısına kadar uzandığını hatırlatıyor. Çok kiracılı model hizmeti, birçok müşterinin verilerini paylaşılan hızlandırıcılar, paylaşılan önbellek havuzları ve ayrıştırılmış önceden doldurma ve uzaktan doğrudan bellek erişimi gibi giderek daha egzotik hale gelen mimariler aracılığıyla yoğunlaştırır. Bir modelin reklamı yapılan bağlam penceresi ile ona hizmet etmek için sağlanan fiziksel kapasite arasındaki ince bir uyumsuzluk, kiracı izolasyonunun ihlali için yeterliydi.
Sunucusuz yapay zeka platformları üzerinde çalışan kuruluşlar için Cloudflare raporunun iki çıkarımı var: Yüksek Lisans hizmetindeki kiracı izolasyon hataları gerçektir ve üretimde zaten yaşanmıştır ve satıcıların yanıt süresi (rapordan devre dışı bırakmaya kadar 24 saatten kısa, düzeltmek ve geri yüklemek için bir gün) hassas istemleri ele alan herhangi bir sağlayıcıdan gelen taleplere yönelik titizlik standardıdır.
---
Stay Ahead of AIGet the latest AI news, analysis, and breakthroughs — all in one place.
Read more AI news →
