Cloudflare corrige falha no Workers AI que expôs dados entre clientes no modelo GLM-5.3

O incidente no GLM-5.3 do Workers AI (@cf/zai-org/glm-5.3) veio de duas falhas que se somaram. A primeira foi de configuração: o modelo foi implantado com janela de contexto de 1.048.576 tokens, mas o pool de KV cache nas GPUs de prefill comportava só 681.280. A Cloudflare já conhecia a diferença antes do lançamento e esperava que o SGLang devolvesse erro para prompts grandes demais. Os testes de contexto longo retornaram sucesso, e a empresa só validou códigos HTTP e desempenho, sem checar a coerência da saída.

A segunda foi um bug do SGLang no modo desagregado de prefill/decode. O prompt rejeitado era trocado por um placeholder de um token, mas a fila de admissão checava se a requisição estava finalizada, não se estava rejeitada. O prefill transferia uma página de KV ao decode, que tinha reservado várias e as lia inteiras. As páginas não são zeradas entre requisições, então o decode atendia sobre dados de sessões anteriores e o cliente recebia HTTP 200 em vez de 400. Foram 155 respostas afetadas, todas a prompts acima de 681.280 tokens. A empresa diz não ter achado exploração deliberada e que nenhum outro modelo foi atingido. A correção igualou a configuração à do GLM 5.2 (pool de cerca de 2,04 milhões de tokens) e tornou seguro o caminho de rejeição no engine. A recomendação aos operadores de SGLang é atualizar para a versão 0.5.22 ou posterior.

Não é o primeiro episódio recente de isolamento entre clientes na Cloudflare. Em 28 de setembro de 2026, o CEVIU noticiou "Cloudflare Corrige Vulnerabilidade Crítica de Exposição de Dados em Containers", sobre uma falha inter-inquilinos com dados residuais de armazenamento em hosts compartilhados. Em 16 de outubro de 2026, saiu "Cloudflare Corrige Raro Bug de Caching no Hyperdrive para MySQL". São produtos e causas diferentes. O que o caso do GLM-5.3 acrescenta é uma camada nova: a memória de GPU (KV cache) compartilhada por inference de IA.

Para quem opera inference multi-tenant, a leitura é que o pool de KV cache não é um valor que o engine força a casar com a janela de contexto. Essa checagem é de quem implanta. Para quem consome modelos hospedados, vale perguntar ao provedor como as páginas de cache são isoladas e zeradas, e avaliar o que enviar em prompts muito longos. Quem roda SGLang próprio deve conferir versão e configuração do pool.