KI-Cloud gab Fremddaten aus: Panne bei Cloudflare Workers AI
Zwei Wochen lang konnte das Modell GLM-5.3 auf Cloudflare Workers AI bei sehr langen Prompts Bruchstücke fremder Anfragen ausgeben. Ursache war ein Fehler im Inferenz-Server SGLang. Was der Fall über Mandantentrennung bei KI-Diensten zeigt und was Unternehmen prüfen sollten.
Wer einen KI-Dienst in der Cloud nutzt, verlässt sich darauf, dass die eigenen Anfragen nicht bei anderen Kunden landen. Bei Cloudflare hat genau das nicht funktioniert. Am 26. Oktober 2026 hat das Unternehmen in seinem Blog offengelegt, dass das Sprachmodell GLM-5.3 auf der Plattform Workers AI zwischen dem 27. August und dem 9. September 2026 Antworten ausgeliefert hat, die Bruchstücke aus den Anfragen anderer Kunden enthielten.
Was passiert ist
Laut Cloudflare waren insgesamt 155 Antworten betroffen, alle auf Prompts mit mehr als 681.280 Token, also auf sehr lange Eingaben. Cloudflare schreibt dazu:
„In total, 155 responses were affected, all to prompts longer than 681,280 tokens.“
Betroffen war nach Angaben des Unternehmens nur dieses eine Modell. Hinweise auf eine gezielte Ausnutzung fand Cloudflare nach eigener Aussage nicht. Entdeckt hat den Fehler nicht Cloudflare selbst, sondern Gadi Evron vom Sicherheitsunternehmen Knostic. Er meldete ihn am 8. September über das Bug-Bounty-Programm. Am 9. September nahm Cloudflare das Modell für einige Stunden vom Netz und stellte es mit geänderter Konfiguration wieder bereit.
Was in den fremden Antworten auftauchte, beschreibt Knostic in einem eigenen Bericht vom 27. Oktober: Namen von Personen und Firmen, Rechnungsnummern, Euro-Beträge, Zahlungstermine, Hinweise auf Quellcode, Dateipfade und Protokolle von KI-Agenten. Die Einordnung von Knostic ist eindeutig:
„The failed boundary was tenant isolation between Workers AI customers.“
Versagt hat also die Trennung zwischen den Kunden, und zwar an einer Stelle, an die bei KI-Diensten kaum jemand denkt.
Die Ursache: ein Zwischenspeicher, der nicht geleert wurde
Sprachmodelle legen beim Verarbeiten eines Prompts Zwischenergebnisse in einem Speicher ab, dem sogenannten KV-Cache. Bei Cloudflare war das Modell auf ein Kontextfenster von gut einer Million Token eingestellt, der Speicher für die Verarbeitung der Eingabe fasste aber nur 681.280 Token. War ein Prompt länger, lehnte die eingesetzte Inferenz-Software SGLang ihn intern ab, brach die Anfrage aber nicht sauber ab. Stattdessen lief sie mit einem Platzhalter weiter, und das Modell las Speicherbereiche, in denen noch Daten früherer Anfragen lagen. Der Kunde bekam keine Fehlermeldung, sondern eine scheinbar normale Antwort.
Der Fehler steckt laut dem SGLang-Team in einer Betriebsart, bei der Eingabe und Ausgabe auf getrennten Rechnern verarbeitet werden, und reicht bis in Versionen von Anfang 2025 zurück. Behoben ist er in den Versionen 0.5.21 bis 0.5.23, für ältere Versionszweige gibt es keine Korrektur. Eine CVE-Nummer wurde bisher nicht vergeben.
Warum das über Cloudflare hinaus wichtig ist
SGLang ist eine verbreitete Open-Source-Software, mit der Anbieter und Unternehmen offene Modelle betreiben. Wer sie im beschriebenen getrennten Betrieb einsetzt, kann denselben Fehler haben, egal ob Cloud-Anbieter oder eigenes Rechenzentrum. Und der Fall zeigt ein Grundproblem: Ein Inferenz-Server ist keine zustandslose Rechenmaschine, sondern hält Daten vieler Nutzer gleichzeitig im Speicher. Er braucht deshalb dieselbe Sorgfalt bei der Mandantentrennung wie eine Datenbank. Wie schnell vertrauliche Daten auf ungeplanten Wegen in KI-Systeme und wieder heraus geraten, zeigte zuletzt auch der Fall einer Klinik, die Patientendaten an ein fremdes KI-Tool verlor.
Offen bleibt, ob Cloudflare die betroffenen Kunden einzeln informiert hat. Der Blogbeitrag sagt dazu nichts. Für Unternehmen in der EU ist das keine Nebensache: Kann ein Auftragsverarbeiter personenbezogene Daten an Dritte ausgegeben haben, ist das eine mögliche Datenpanne, die geprüft und gegebenenfalls binnen 72 Stunden gemeldet werden muss.
Was das für Ihr Unternehmen heißt
- Betroffenheit klären: Wenn Sie zwischen dem 27. August und 9. September 2026 GLM-5.3 auf Workers AI mit sehr langen Prompts genutzt haben, fragen Sie bei Cloudflare nach, ob Ihre Anfragen oder Antworten betroffen waren, und dokumentieren Sie die Prüfung.
- Mandantentrennung im Vertrag: Fragen Sie KI-Anbieter, wie sie Kunden technisch voneinander trennen und wie sie über Vorfälle informieren. Das gehört in den Auftragsverarbeitungsvertrag, nicht nur ins Marketing.
- Sparsam prompten: Je mehr vertrauliche Daten in einem Prompt stecken, desto größer der Schaden bei einem Fehler. Personenbezogene Daten vor dem Senden zu kürzen oder zu ersetzen, ist der beste Schutz.
- Eigenbetrieb aktualisieren: Wer offene Modelle selbst mit SGLang betreibt, sollte auf eine korrigierte Version wechseln und prüfen, ob die konfigurierte Kontextlänge zum tatsächlich verfügbaren Speicher passt.
- Fehler nicht verschlucken lassen: Der Kern des Problems war eine Anfrage, die hätte scheitern müssen und stattdessen eine Antwort lieferte. Testen Sie eigene KI-Anwendungen auch mit Eingaben an und über den Grenzen.
Fazit
Der Fehler betraf nur ein Modell, wenige Antworten und einen begrenzten Zeitraum. Er zeigt aber, dass bei KI-Diensten nicht nur das Modell selbst ein Risiko ist, sondern auch die Software darunter, die viele Kunden gleichzeitig bedient. Wer KI-Anbieter auswählt, sollte deshalb nach Mandantentrennung und Vorfallsmeldung fragen, genauso wie bei jedem anderen Cloud-Dienst. Wenn Sie Ihre KI-Anbieter unter Datenschutzgesichtspunkten prüfen oder Modelle lieber selbst betreiben möchten, sprechen Sie mich gern an.
