Cloudflare Workers AI GLM-5.3 KV Cache Açıklaması: 155 Yanıt Etkilendi

Cloudflare, 26 Ekim 2026 tarihli blog yazısında Workers AI'daki GLM-5.3 modelinde kiracı izolasyonu sorunu yaşandığını, 27 Ağustos-9 Eylül 2026 arasında toplam 155 yanıtın etkilendiğini ve kötüye kullanıma dair kanıt bulmadığını açıkladı.

Bu sayfa Cloudflare'ın kendi blogundaki "Cross-request KV cache exposure in the GLM-5.3 Workers AI model, and our remediation with SGLang" yazısına dayanır. Haber sitelerinin özetlerinden bilgi aktarılmamış, metin Türkçe olarak sıfırdan yazılmıştır. Cloudflare yazısı Workers AI müşterileri için belirli bir eylem listesi vermediğinden, bu sayfa da böyle bir liste önermez.

Künye

Ne Oldu?

Cloudflare'a göre bazı müşteriler, aynı modele istek gönderen başka müşterilerin isteklerinden veri içeren yanıtlar aldı. Yazı bunu bir kiracı izolasyonu sorunu olarak tanımlıyor. Kök neden, yapılandırma uyumsuzluğunun SGLang'de bulunan bir hatayı tetiklemesi: KV cache havuzu modelin bağlam penceresinden küçüktü ve SGLang, ayrıştırılmış prefill/decode modunda aşırı uzun istekleri yanlış işledi. KV cache, bir dil modelinin önceki token'lar için hesapladığı ara değerleri tuttuğu bellek alanıdır.

Tarih Aralığı ve Kapsam

Yazıya göre sorun modelin kullanıma açıldığı günden itibaren vardı ve 27 Ağustos-9 Eylül 2026 arasını kapsıyor. Bir güvenlik araştırmacısı 8 Eylül 2026'da durumu bildirdi; model 9 Eylül'de özel yapıldı ve aynı gün yeniden kamuya açıldı. Cloudflare toplam 155 yanıtın etkilendiğini, bunların hepsinin 681.280 token'dan uzun istemlere verildiğini yazıyor ve "az sayıda müşteri"den söz ediyor; müşteri sayısı verilmiyor. Cloudflare ayrıca Workers AI'da barındırılan başka hiçbir modelin etkilenmediğini doğruladığını belirtiyor.

Nasıl Düzeltildi?

Cloudflare iki ana değişiklik yaptığını yazıyor. Birincisi, prefill KV havuzu tüm bağlamı tutacak şekilde yaklaşık 2,04 milyon token'a büyütüldü. İkincisi, SGLang yamalandı: aşırı uzun istekler KV aktarımı başlamadan hata ile reddediliyor. Yazı bu düzeltmeler için SGLang deposundaki iki değişikliğe (#36988 ve #38935) atıf yapıyor. Ek sertleştirme olarak ertelenmiş KV serbest bırakma, sınırlı aktarım toplu işleri, yük dengeleyici değişiklikleri ve dağıtım kontrolleri sayılıyor.

SGLang İşletenler İçin

Cloudflare, kendi altyapısında SGLang çalıştıranlara v0.5.22 veya daha yeni bir sürüme güncelleme yapmayı ve her düğümde KV havuz boyutunu bağlam uzunluğuyla karşılaştırmayı öneriyor. Güvenlik bildirimleri için HackerOne üzerindeki Cloudflare programı anılıyor.

İlgili Sayfalar

Cloudflare'ın yakın tarihli başka bir güvenlik duyurusu için Cloudflare GeoKey Manager post-kuantum beta sayfamıza bakabilirsiniz.

Bu Sayfada Ne Yok?

• Etkilenen müşteri sayısı ve kimlikleri: Cloudflare yalnızca "az sayıda müşteri" dediği için yazılmamıştır.
• Sızan içeriğin ne olduğu: yazıda içerik ayrıntısı verilmediği için yazılmamıştır.
• Etkilenen müşterilere bildirim yapılıp yapılmadığı: yazıda belirtilmediği için doğrulanamamıştır.
• Workers AI müşterilerinin yapması gereken bir eylem: yazı böyle bir adım listelemediği için uydurulmamıştır.
• Saldırı ya da veri hırsızlığı iddiası: Cloudflare kasıtlı istismar kanıtı bulmadığını söylüyor; bu sayfa o ifadeyi aşmaz.
• Diğer Workers AI modellerinin etkilendiği: Cloudflare etkilenmediğini doğruladığını yazıyor; aksi iddia yazılmamıştır.
• Hukuki, mali ya da düzenleyici sonuçlar: kaynakta yoktur.

Sık Sorulan Sorular

Cloudflare Workers AI'da ne oldu?

GLM-5.3 modelinde kiracı izolasyonu sorunu yaşandı: bazı müşteriler, başka müşterilerin isteklerinden veri içeren yanıtlar aldı.

Kaç yanıt etkilendi?

Cloudflare toplam 155 yanıtın etkilendiğini, hepsinin 681.280 token'dan uzun istemlere verildiğini yazıyor.

Hangi modeller etkilendi?

Yalnızca GLM 5.3. Cloudflare başka bir Workers AI modelinin etkilenmediğini doğruladığını belirtiyor.

Sorun ne zaman oldu ve nasıl fark edildi?

27 Ağustos-9 Eylül 2026 arasında. Bir güvenlik araştırmacısı 8 Eylül 2026'da bildirdi.

Kötü niyetli bir saldırı mıydı?

Cloudflare kasıtlı istismara dair kanıt bulmadığını, tespit edilen isteklerin olağan uzun bağlam kullanımına benzediğini yazıyor.

KV cache nedir?

Bir dil modelinin önceki token'lar için hesapladığı ara değerleri tuttuğu bellek alanıdır; yanıtların hızlı üretilmesine yardım eder.

Kaynak ve kapsam: Cloudflare blogunun 26 Ekim 2026 tarihli "Cross-request KV cache exposure in the GLM-5.3 Workers AI model, and our remediation with SGLang" yazısı (blog.cloudflare.com/kv-cache-exposure-remediation). Müşteri sayısı, sızan içerik, bildirim durumu ve müşteri eylem listesi kaynakta bulunmadığı için yazılmamıştır.