Cloudflare ha corregido una vulnerabilidad de seguridad que permitía la exposición de datos entre solicitudes en el modelo de IA GLM-5.3 de Z.ai, afectando a 155 respuestas entre el 27 de agosto y el 9 de septiembre de 2026. El incidente, reportado por el investigador Gadi Evron de Knostic, se debió a una combinación de una configuración incorrecta del motor de inferencia SGLang y un bug interno en el manejo de solicitudes de contexto excesivo. El modelo, que opera con una ventana de contexto de 1.048.576 tokens, tenía una piscina de caché KV en las GPUs de prefill limitada a 681.280 tokens. Cuando una solicitud superaba este límite, el sistema marcaba la petición como rechazada pero transfería la caché generada para un token de reemplazo en lugar de abortar. El nodo de decodificación asumía erróneamente que la caché había sido sobrescrita por la nueva solicitud, generando respuestas basadas en datos obsoletos de otras sesiones de usuarios. La empresa desactivó el modelo y lo restauró el 9 de septiembre tras aplicar dos correcciones: ajustar la configuración para que la piscina de caché cubriera el contexto completo y parchear el motor SGLang para que retirara las peticiones rechazadas antes de cualquier transferencia de memoria. Cloudflare ha colaborado con el equipo de mantenimiento de SGLang para integrar estas mejoras en el código fuente principal, asegurando que futuras versiones no repitan este fallo de aislamiento de tenencia.
Noticias agregadas con IA