클라우드플레어가 26일 워커스 AI에서 제공하는 GLM-5.3 모델에서 고객 간 데이터가 섞여 노출된 사고의 경위와 조치를 공개했다. 문제는 8월 27일 모델 출시 때부터 존재했고, 보안 연구자 가디 에브론이 9월 8일 제보하면서 드러났다.
영향을 받은 응답은 모두 155건으로, 프롬프트가 68만 1,280토큰을 넘는 경우에 한정됐다. 일부 고객이 직전에 같은 모델로 요청한 다른 고객의 데이터가 섞인 응답을 받았다. 다른 워커스 AI 모델은 영향이 없었다고 회사는 밝혔다. 내부 테스트와 연구자의 요청을 제외한 나머지 요청은 정상적인 긴 문맥 사용과 시기·규모가 일치해, 고의적 악용 정황은 발견되지 않았다.
원인은 두 가지가 겹친 것이다. 첫째는 설정 오류로, 이 모델의 문맥 창은 1,048,576토큰인데 프리필 KV 풀은 68만 1,280토큰만 담을 수 있었다. 회사는 출시 전 이 불일치를 알았지만, 긴 문맥 테스트가 성공 응답을 돌려줘 위험으로 보지 않았다. 테스트가 출력 내용이 아니라 상태 코드만 확인했기 때문이다.
둘째는 오픈소스 추론 엔진 SGLang의 버그다. 분리형 프리필·디코드 방식에서 길이를 넘긴 요청이 거부 처리된 뒤에도 대기열을 통과했고, 디코드 단계가 다른 사용자 데이터가 남은 메모리 페이지를 참조한 채 오류 대신 정상 응답을 돌려줬다. 같은 문제는 7월 6일 SGLang에 이미 보고돼 있었다.
클라우드플레어는 9월 9일 사고를 선언하고 모델을 비공개로 돌렸으며, 원인을 파악한 뒤 설정과 엔진 패치를 반영한 배포를 검증해 같은 날 저녁 공개를 재개했다. KV 풀은 문맥 길이의 약 두 배인 204만 토큰 규모로 키웠고, 거부된 요청은 초기 단계에서 원래 오류와 함께 종료하도록 고쳤다.
SGLang 쪽에서는 9월 이후 여러 수정이 반영됐고 10월 2일 v0.5.21, 19일 v0.5.22가 나왔다. 회사는 운영자에게 v0.5.22 이상 사용을 권고했다. 또 배포 변경 시 풀 크기와 패치 적용 여부를 점검하는 체크리스트를 의무화하고 전송 단위 체크섬을 도입했다.
앞으로는 메모리 페이지에 태그를 달아 읽을 때마다 검증하는 방식을 실제 서비스용으로 만들고, 원격 직접 메모리 접근 기반 KV 캐시 전송 프로토콜의 안전성을 형식 검증하겠다고 밝혔다. 태그 방식 시제품은 처리량과 지연 시간에 미치는 영향이 1% 미만이었다.
원문: Cloudflare Blog
이 글은 원문에 담긴 사실을 바탕으로 Raon Community가 새로 작성한 기사입니다. 원문의 저작권은 원저작자에게 있으며, 자세한 내용은 원문에서 확인해 주세요.