클라우드플레어 GLM-5.3, 다른 고객 프롬프트 섞여 155건 노출
Cloudflare Workers AI의 GLM-5.3에서 2026년 8월 27일부터 9월 9일까지 다른 고객의 프롬프트와 생성 내용이 응답 155건에 섞여 나갔다. 컨텍스트 한도(1,048,576토큰)보다 작은 prefill KV 캐시(681,280토큰)와 SGLang의 거부 요청 처리 버그가 겹쳐 이전 요청의 캐시를 읽은 것이 원인이다. Cloudflare는 캐시 풀 확대와 엔진 패치로 복구했고, 의도적 악용 증거는 없었다며 분리 구성 운영자에게 SGLang v0.5.22 이상 업그레이드를 권고했다.
원문
- GLM-5.3 Workers AI 모델에서 요청 간 KV 캐시 노출, 응답 155건 영향 GeekNews · 2026년 10월 28일 13:35
뉴스 수집·요약·게시를 자동화한 이 사이트처럼, 반복 업무를 자동화하고 싶으신가요?
AI 분석
수집된 보도와 일반적인 배경 지식을 바탕으로 편집자 AI가 쓴 분석입니다. 사실 확인은 출처를 참고하세요.
배경
Cloudflare는 Z.ai의 GLM-5.3을 8월 27일 Workers AI에 출시하면서 prefill과 decode를 서로 다른 GPU에서 처리하는 SGLang 분리 구성을 썼다. 회사 설명에 따르면 컨텍스트 한도와 prefill KV 풀 크기가 다르다는 사실을 출시 전부터 알았지만, 엔진이 초과 요청을 오류로 돌려줄 것으로 가정했다.
일반적으로 추론 엔진은 성능을 위해 KV 캐시 페이지를 요청 사이에 0으로 지우지 않고 재사용한다. 그만큼 페이지 소유권 추적이 정확해야 하는데, 거부된 요청이 '완료되지 않은 정상 요청'으로 넘어가면서 이 전제가 무너졌다. 같은 유형의 버그는 7월에 다른 사용자가 SGLang에 이미 신고한 상태였다.
의미
사용자에게는 클라우드 LLM API에서도 고객 간 데이터가 섞일 수 있다는 구체적 사례다. 영향 범위는 681,280토큰을 넘는 긴 프롬프트 155건으로 좁지만, 클라이언트는 오류 대신 HTTP 200과 자연스러운 문장을 받아 이상을 알아채기 어려웠다.
추론 인프라 운영자에게는 KV 풀 크기와 컨텍스트 길이를 직접 대조하고, 응답 코드가 아니라 출력 내용까지 검증해야 한다는 교훈이 남는다. 오픈소스 엔진 쪽에서는 체크섬·카나리·지연 해제 같은 무결성 장치가 기본값으로 들어가는 계기가 됐다. 긴 컨텍스트 경쟁이 심해질수록 이런 용량 불일치 위험은 다른 사업자에게도 생길 수 있다.
전망
낙관
전제: 이번 일은 개별 설정 실수가 드러난 사례이고, 공개 이후 엔진 차원의 방어가 빠르게 표준이 된다. Cloudflare가 타임라인과 원인, 업스트림 패치 번호까지 공개했고 SGLang v0.5.22에 수정과 체크섬 옵션이 들어갔다. 이 흐름이라면 분리형 추론을 쓰는 다른 사업자도 같은 경로를 막게 되고, 업계 전체의 추론 보안 수준은 오히려 올라갈 가능성이 크다.
이 전제는 페이지 태그나 해제 시 0 초기화 같은 남은 작업이 성능 부담으로 기본 활성화되지 못하면 깨진다.
회의
전제: 분리형 추론과 RDMA 캐시 전송은 구조적으로 소유권 오류가 생기기 쉬운 분산 시스템이다. Cloudflare 스스로 이번 일을 노드 간 일관성 실패로 규정했고, 체크섬도 아직 일부 모델 아키텍처만 지원한다. 성능 경쟁 때문에 운영자들이 무결성 검사를 끄거나 늦게 적용한다면, 비슷한 교차 노출은 다른 엔진·다른 사업자에서 다시 나타날 가능성이 크다.
이 전제는 주요 추론 엔진이 읽기 시점 무결성 검사를 성능 저하 없이 기본으로 켜는 데 성공하면 깨진다.
지켜볼 신호
예측