CloudflareのAIデータ漏えいは、ユーザー権限だけでは防げない弱点を露呈させた。一部の認証済み顧客に対し、他の顧客のリクエストに含まれる情報を載せたAI応答が返され、当該顧客の認証情報にアクセスする必要はなかった。
Cloudflareは10月26日の公表で、8月27日から9月9日までの間に、同社のWorkers AI上のGLM-5.3モデルから返された155件の応答に、顧客間で情報が混在していたことを認めた。この障害は、顧客のワークロードを分離するための安全策が機能しなくなった、共有AI推論基盤の内部で発生した。
CloudflareのAIデータ漏えいはどのように起きたのか
セキュリティー研究者であるKnosticのGadi Evron氏は、9月8日にHackerOneを通じてこの脆弱性を報告した。Cloudflareは翌朝に問題を再現し、影響を受けたモデルを一時的に無効化したと、同社のインシデント報告書には記されている。
この問題に関係していたのは、GLM-5.3を実行するオープンソースの推論エンジン、SGLangだ。Cloudflareはコンテキストウィンドウを1,048,576トークンに設定していたが、GPUのキー・バリュー（KV）キャッシュが収容できるのは681,280トークンにすぎなかった。このキャッシュには、AI処理中に使われる情報が一時的に保存される。
サイズ超過のリクエストは、本来ならエラーを返すはずだった。ところがソフトウェアのバグにより、拒否されたリクエストが分散推論パイプラインを通過し、応答の生成時に以前のリクエストに属するキャッシュデータが参照される可能性があった。
その独立調査では、Knosticが氏名、請求書の詳細、ソースコード情報、ファイルシステムのパス、AIエージェントの記録を含む応答を記録した。このような情報は、ソフトウェア開発など機密性の高いワークフローでAIを利用する企業にとって、機密保持上のリスクとなる。
Cloudflareによると、影響を受けたWorkers AIのモデルはGLM-5.3だけで、意図的な悪用の証拠は見つからなかった。設定を修正してエンジンにパッチを適用した後、9月9日にサービスを復旧させた。
その後、メモリー管理に関する追加の安全策が導入された。SGLangのセキュリティーアドバイザリーには、関連する修正と、デプロイごとの指針が記載されている。
なぜアクセス制御では情報露出を防げなかったのか
この障害は、IDおよびアクセス管理のレイヤーより下で発生した。エンタープライズAIエージェントのID管理はアクセスと委任された権限を制限するが、共有推論基盤内部のメモリー分離を単独で強制することはできない。
分離テストの必要性は、共有AIモデルを提供するエンタープライズプラットフォームにも及ぶ。Broadcomは、VMware Cloud Foundationがテナントごとのデータ分離をサポートすると説明しているが、同社が公開した文書からは、そうした保護機能がCloudflareのインシデントに関係した推論メモリーの安全策と比べてどの程度のものかは分からない。
Cloudflareのインシデントは、MicrosoftのAIデータ保護制御が対処するデータ露出とも異なる。Microsoftの制御は、機密情報が信頼できないAIの送信先に届くのを防ぐのに役立つ。一方今回は、リクエストが認証済みのサービスに入った後で、情報が顧客の境界を越えた。
eWeekが判明させたこと：APIチェックは成功しても分離の障害を見逃した
Cloudflareの設定は、受け入れ可能なコンテキスト長と利用可能なメモリーの間に、測定可能な乖離を生じさせた。1,048,576トークンの上限は、プリフィルキャッシュの容量を367,296トークン上回り、キャッシュが収容できる量より約54%多かった。
エンジニアはローンチ前からこの不一致を把握していたが、サイズ超過のリクエストは安全に失敗すると想定していた。ローンチ前のベンチマークでは、生成された出力の完全性を検証しないまま、HTTPの成功応答が返された。その後Knosticが実施したテストにより、こうした応答に無関係な顧客情報が含まれる可能性が示された。
Cloudflareはその後、容量の不一致を修正し、リクエスト処理にパッチを適用するとともに、デプロイを直接検証するチェックを追加した。これらの変更によって報告された障害には対処したものの、メモリー分離に関する潜在的な脆弱性がすべて排除されたことを示すものではない。
したがって企業のセキュリティー評価では、プロバイダーがキャッシュの所有者をどのように検証し、サイズ超過のリクエストを拒否し、障害発生時の条件下で分離をテストしているかを調べるべきだ。Cloudflareは報告された情報露出を修正したが、同様に脆弱な設定が他の場所にどの程度広く導入されていたかについて、公表内容からは分からない。
AIのヒントやコツ、プロンプトのテクニックをもっと知りたいですか？私たちが無料でお教えするAIとの話し方を、ぜひ学んでください。The Neuron Academyの6分間コースを試してみませんか。これは、仕事でより自信を持ってAIを使えるよう、プロフェッショナル向けに設計された実践的な学習プラットフォームです。
より良いプロンプトを書き、AIからより役立つ結果を得る簡単な方法を学ぶか、ほかのAI講座も7日間無料でお試しください。eWeek読者は7日間無料で利用できます。すべてのレッスンをチェック →