클라우드플레어, AI 요청 간 데이터 노출 155건 보고…캐시 용량 불일치

긴 문서를 받는 AI 서비스를 운영한다면 문맥 한도 설정과 실제 처리 자원의 용량을 함께 확인해야 한다. 클라우드플레어는 10월 26일 공개한 사고 보고에서 Workers AI의 GLM-5.3이 일부 긴 요청에 응답하면서 이전 요청의 데이터를 노출했다고 밝혔다. 회사가 집계한 영향 응답은 155건이며, 노출 기간은 8월 27일부터 9월 9일까지다.

회사 설명에서 핵심 조건은 입력 길이다. 영향받은 응답은 모두 입력이 681,280토큰을 넘는 요청에서 나왔다. 모델의 문맥 한도는 1,048,576토큰으로 설정돼 있었지만, 입력을 먼저 처리하는 prefill GPU의 KV 캐시는 681,280토큰까지만 수용할 수 있었다. KV 캐시는 모델이 처리 과정에서 활용하는 중간 정보를 보관하는 영역이다.

클라우드플레어는 출시 전 이 용량 차이를 알고 있었다고 밝혔다. 다만 당시 시험에서는 긴 입력에 대한 응답 내용과 일관성을 검증하지 않았다고 설명했다. 요청을 받아 실행할 수 있는지 확인하는 것에 더해, 한도를 넘겼을 때 어떤 내용이 반환되는지 살펴볼 필요성을 보여주는 대목이다.

회사 분석에 따르면 입력 처리와 출력 생성을 분리한 구성에서 추론 엔진 SGLang이 거절 대상으로 표시한 요청을 계속 처리했다. 이후 출력 생성 단계인 decode가 이전 요청의 데이터가 남은 캐시 영역을 읽었다. 설정 불일치와 요청 거절 처리의 문제가 함께 작용했다는 것이 회사의 설명이다.

회사는 9월 8일 외부 연구자의 신고를 받고, 9월 9일 모델을 비공개로 전환했다고 보고했다. 캐시 용량 설정과 엔진을 수정한 뒤 같은 날 공개 서비스를 복구했다는 설명이다. 해당 일정의 기준은 UTC다. 다른 Workers AI 모델에서는 영향을 확인하지 않았으며 의도적인 악용 증거도 찾지 못했다고 밝혔지만, 제공 자료에는 회사 조사 결과를 독립적으로 검증한 내용은 없다.

같은 분리형 구성을 사용하는 운영자에게 클라우드플레어는 SGLang을 v0.5.22 이상으로 갱신하고, 각 노드의 실제 KV 캐시 용량을 문맥 한도와 대조하라고 권고했다. 이 권고는 해당 운영 구성을 대상으로 하며, 모든 AI 모델이나 설치 환경에서 같은 문제가 발생했다는 뜻은 아니다.

별도 배경 사례로 Rust 보안 대응팀은 9월 21일 Miri 실행 환경변수가 GitHub Actions 캐시에 남을 수 있다고 발표했다. CI에서의 Miri 실행, 비밀 환경변수 접근, target 디렉터리 캐싱, PR의 캐시 접근이 함께 있는 구성이 대상이었다. 팀은 기존 캐시 삭제와 비밀정보 교체 검토 등을 안내했다. 다음 날 nightly의 수정 반영은 발표 당시 예정이었으며, 이 자료는 클라우드플레어 사고를 교차 검증하는 근거가 아니다.