Entre le 27 août et le 9 septembre 2026, une poignée de clients utilisant le modèle GLM-5.3 sur la plateforme Workers AI de Cloudflare ont reçu des réponses contenant des fragments de requêtes antérieures effectuées par d’autres utilisateurs. Ce problème d’isolement des locataires a été signalé par le chercheur en sécurité Gadi Evron de Knostic, et Cloudflare a mis le modèle hors ligne pour appliquer des correctifs.
Cloudflare a confirmé qu’aucun autre modèle hébergé sur Workers AI n’était affecté. Les quinze cinq réponses concernées provenaient de prompts particulièrement longs, dépassant les 681 280 jetons. L’entreprise n’a trouvé aucune preuve d’exploitation délibérée, et les requêtes identifiées correspondent au volume et au calendrier d’une utilisation normale de contexte long.
Les mécanismes de la fuite de cache
La racine du problème réside dans l’architecture d’inférence, qui utilise le moteur open-source SGLang. Cloudflare avait déployé GLM 5.3 avec une fenêtre contextuelle de 1 048 576 jetons. Or, le pool de cache KV sur les GPU de pré-remplissage n’était dimensionné que pour 681 280 jetons. L’attente était que le moteur renvoie une erreur pour les prompts trop longs, mais les tests de contexte long avaient retourné des réponses réussies, ce qui a masqué le risque.
Le second point de défaillance était un bug dans la manière dont SGLang gérait ces requêtes excédentaires en mode pré-remplissage/décodage désagrégé. Un prompt qui ne rentrait pas dans le pool était marqué comme rejeté en interne. Au lieu d’arrêter la requête et de renvoyer une erreur au client, le pré-remplissage générait le cache KV pour un jeton de substitution. Ce cache était transmis au nœud de décodage, qui supposait que le pré-remplissage avait écrasé l’état précédent, alors qu’une grande partie de l’état antérieur restait intacte. Le nœud de décodage générait alors sa réponse en consultant des pages de cache obsolètes contenant des données de sessions antérieures.
Menaces actives et évolution des failles IA
Au-delà de cette fuite spécifique, l’intégration de l’IA dans les outils d’attaquants est une réalité croissante. Cisco Talos a documenté NIK C2, un implant Windows qui abuse de l’API Chat Completions d’OpenAI. Cet outil permet aux acteurs de collecter des données sensibles, comme les identifiants, puis d’utiliser l’IA intégrée pour analyser ces données en continu. Ce processus efface les délais de traitement hors ligne qui permettaient aux défenseurs d’identifier les intrusions.
D’autres failles montrent la portée de ces risques. Par exemple, des chercheurs ont démontré qu’un modèle d’IA non encore lancé par Anthropic pouvait enchaîner des vulnérabilités dans Chrome, Safari, Android, Windows et Linux pour créer des preuves de concept exploitables, bien que ces failles aient été signalées et corrigées par les éditeurs.
La remédiation de Cloudflare s’est concentrée sur deux actions. Premièrement, ajuster la configuration pour que le pool de cache contienne l’intégralité du contexte attendu, ce qui a permis de libérer suffisamment de mémoire GPU. Deuxièmement, et c’est la mesure la plus robuste, ils ont patché le moteur SGLang pour que toute requête portant un statut de rejet soit retirée au niveau de la file d’admission, avant tout traitement, empêchant ainsi la corruption de l’état de cache.
Il faut surveiller comment les fournisseurs d’inférence gèrent les chemins de rejet. La simple adéquation entre le contexte annoncé et la capacité physique du pool de mémoire n’est plus suffisante, car le risque de fuite de données inter-clients persiste si le chemin de rejet n’est pas sécurisé.
Fiche technique
| CVE | Produit | Gravité | Exploitée activement | Versions corrigées |
|---|---|---|---|---|
| CVE-2026-97631 | — | Critique (CVSS 9,5) | Non signalée | Voir l’avis de l’éditeur |
Données : NVD (NIST).
Sources
- Cross-request KV cache exposure in the GLM-5.3 Workers AI model, and our remediation with SGLang, blog.cloudflare.com
- NIK C2: The new AI-enabled command-and-control framework, blog.talosintelligence.com
- In Other News: Anthropic Breach Dispute, UEFI Flaw Hits Most Servers, Cloudflare AI Data Leak, SecurityWeek, 30 octobre 2026
- Anthropic’s Unreleased AI Model Chains Flaws Into Working Chrome, Safari, Windows and Linux Exploits, The Hacker News, 28 octobre 2026
- CVE-2026-97631, NVD (NIST)
Crédits photo
- Image en une : Rack of Cisco Hyperflex HXAF 240c M5 nodes, par Btrs, CC BY-SA 4.0, via Wikimedia Commons (recadrée)
