Cloudflares KI-Datenleck legte eine Schwachstelle offen, die sich allein durch Nutzerberechtigungen nicht verhindern ließ. Einige authentifizierte Kunden erhielten KI-Antworten mit Informationen aus den Anfragen anderer Kunden, ohne Zugriff auf deren Zugangsdaten zu benötigen.
In einer Mitteilung vom 26. Okt. bestätigte Cloudflare, dass zwischen dem 27. Aug. und dem 9. Sept. 2026 insgesamt 155 Antworten des GLM-5.3-Modells auf Workers AI kundenübergreifende Informationen enthielten. Der Fehler trat innerhalb einer gemeinsam genutzten KI-Inferenzinfrastruktur auf, in der Schutzmechanismen zur Trennung der Workloads verschiedener Kunden versagten.
So kam es zu Cloudflares KI-Datenleck
Der Sicherheitsforscher Gadi Evron von Knostic meldete die Schwachstelle am 8. Sept. über HackerOne. Cloudflare konnte das Problem am folgenden Morgen reproduzieren und deaktivierte das betroffene Modell vorübergehend, wie aus seinem Incidentbericht hervorgeht.
Das Problem betraf SGLang, die Open-Source-Inferenz-Engine, auf der GLM-5.3 läuft. Cloudflare konfigurierte ein Kontextfenster von 1.048.576 Tokens, doch der GPU-Key-Value-Cache (KV-Cache) konnte nur 681.280 Tokens aufnehmen. Dieser Cache speichert vorübergehend Informationen, die während der KI-Verarbeitung verwendet werden.
Anfragen, die diese Größe überschritten, hätten mit einem Fehler beantwortet werden müssen. Stattdessen sorgte ein Softwarefehler dafür, dass abgewiesene Anfragen die verteilte Inferenzpipeline durchliefen, in der die Antwortgenerierung auf zwischengespeicherte Daten früherer Anfragen zugreifen konnte.
In ihrer unabhängigen Untersuchung dokumentierte Knostic Antworten mit Namen, Rechnungsdetails, Quellcodeinformationen, Dateisystempfaden und Aufzeichnungen von KI-Agenten. Für Unternehmen, die KI in der Softwareentwicklung und anderen sensiblen Arbeitsabläufen einsetzen, stellen solche Informationen ein Vertraulichkeitsrisiko dar.
Cloudflare zufolge war GLM-5.3 das einzige betroffene Workers-AI-Modell; Hinweise auf eine gezielte Ausnutzung gab es nicht. Nach der Korrektur der Konfiguration und einem Patch für die Engine stellte das Unternehmen den Dienst am 9. Sept. wieder her.
Es folgten zusätzliche Schutzmaßnahmen für die Speicherverwaltung. Ein Sicherheitshinweis zu SGLang dokumentiert entsprechende Korrekturen und bereitstellungsspezifische Hinweise.
Warum Zugriffskontrollen die Offenlegung nicht verhindern konnten
Der Fehler trat unterhalb der Ebene für Identitäts- und Zugriffsverwaltung auf. Identitätskontrollen für Enterprise-KI-Agenten beschränken den Zugriff und delegierte Berechtigungen, können aber die Speicherisolierung innerhalb einer gemeinsam genutzten Inferenzinfrastruktur nicht eigenständig durchsetzen.
Die Notwendigkeit von Isolationstests gilt auch für Enterprise-Plattformen mit gemeinsam genutzten KI-Modellen. Broadcom zufolge unterstützt VMware Cloud Foundation eine mandantenspezifische Datentrennung. Die veröffentlichten Unterlagen zeigen jedoch nicht, wie dieser Schutz im Vergleich zu den bei Cloudflares Vorfall betroffenen Schutzmaßnahmen für den Inferenzspeicher abschneidet.
Cloudflares Vorfall unterscheidet sich außerdem von der Datenoffenlegung, der Microsofts Schutzmaßnahmen für KI-Daten entgegenwirken sollen, indem sie verhindern, dass sensible Informationen an nicht vertrauenswürdige KI-Ziele gelangen. In diesem Fall überschritten Informationen Kundengrenzen, nachdem die Anfragen einen autorisierten Dienst erreicht hatten.
Was eWeek herausfand: Erfolgreiche API-Prüfungen übersahen einen Isolationsfehler
Cloudflares Konfiguration offenbarte eine messbare Lücke zwischen der akzeptierten Kontextlänge und dem verfügbaren Speicher. Das Limit von 1.048.576 Tokens überstieg die Kapazität des Prefill-Caches um 367.296 Tokens – etwa 54 % mehr, als der Cache aufnehmen konnte.
Die Entwickler wussten vor dem Start von der Abweichung, gingen jedoch davon aus, dass übergroße Anfragen sicher fehlschlagen würden. Tests vor der Einführung lieferten erfolgreiche HTTP-Antworten, ohne die Integrität der generierten Ausgaben zu überprüfen. Spätere Tests von Knostic zeigten, dass solche Antworten unabhängige Informationen anderer Kunden enthalten konnten.
Cloudflare korrigierte anschließend die Kapazitätsabweichung, überarbeitete die Verarbeitung von Anfragen und ergänzte direkte Prüfungen der Bereitstellungen. Diese Änderungen behoben den gemeldeten Fehler, belegten jedoch nicht, dass jede potenzielle Schwachstelle bei der Speicherisolierung beseitigt worden war.
Sicherheitsbewertungen für Unternehmen sollten daher untersuchen, wie Anbieter den Besitz von Cache-Daten überprüfen, übergroße Anfragen zurückweisen und die Isolation unter Fehlerbedingungen testen. Cloudflare hat die gemeldete Offenlegung behoben; aus den Mitteilungen geht jedoch nicht hervor, wie weit vergleichbar anfällige Konfigurationen andernorts eingesetzt wurden.
Möchten Sie mehr über KI-Tipps, Tricks und Prompting-Techniken erfahren? Wir zeigen Ihnen kostenlos Wie man mit KI spricht – in unserem sechswöchigen Kurs an der The Neuron Academy, unserer praxisorientierten Lernplattform, die Berufstätigen helfen soll, KI bei der Arbeit souveräner einzusetzen.
Lernen Sie einige einfache Methoden kennen, um bessere Prompts zu schreiben und nützlichere Ergebnisse von KI zu erhalten, oder testen Sie unseren anderen KI-Kurs sieben Tage lang kostenlos. eWeek-Leser erhalten sieben Tage kostenlosen Zugang. Hier geht es zu allen Lektionen →