29 октября 2026 | Кибербезопасность, искусственный интеллект
Представьте гостиницу с тысячей номеров.
Каждый постоялец получает собственную комнату. После его отъезда горничная меняет бельё, убирает вещи и готовит помещение для следующего гостя.
Но однажды происходит сбой.
Новый постоялец открывает шкаф, а там лежат документы предыдущего жильца. Чужая переписка, рабочие записи, возможно, конфиденциальная информация.
Никто не взламывал замок. Никто не подбирал пароль.
Просто система решила, что комната готова, хотя её не очистили.
26 октября 2026 года Cloudflare рассказала о похожей истории. Только вместо гостиницы был облачный искусственный интеллект, а вместо шкафа - память графического процессора.
Нейросеть, которая помнила чужое
С 27 августа по 9 сентября в облачной платформе Workers AI работала модель GLM-5.3.
Её использовали для обработки текстов, программирования и других задач.
Всё выглядело нормально, пока исследователь безопасности Гади Эврон не обнаружил странное поведение.
Иногда нейросеть отвечала на запрос пользователя фрагментами информации, принадлежавшей совершенно другому клиенту.
Cloudflare начала расследование и подтвердила проблему.
Всего компания выявила 155 затронутых ответов.
Важно: речь идёт об ответах, а не обязательно о 155 разных пользователях. Доказательств намеренного использования ошибки злоумышленниками компания не нашла.
Как память одного человека попала к другому
Чтобы нейросеть могла быстро работать, она использует специальный механизм, называемый KV cache.
Если объяснять просто, это рабочая память, в которой хранятся промежуточные результаты обработки текста.
Так модели не приходится заново пересчитывать всю предыдущую информацию при генерации каждого следующего слова.
Для ускорения работы серверы могут повторно использовать участки видеопамяти после завершения запросов.
Само по себе это нормально.
Проблема возникла из-за сочетания двух ошибок.
Первая: модель была настроена на обработку примерно миллиона токенов, но выделенной памяти хватало только на 681 тысячу.
Вторая: программный движок SGLang неправильно обрабатывал запросы, которые не помещались в память.
Вместо корректного отказа система продолжала работу.
И при формировании ответа могла использовать старые данные, оставшиеся в памяти после других пользователей.
Вот так чужая информация попадала в новый ответ.
Самое опасное: система не сообщала об ошибке
В этом инциденте есть деталь, которую особенно стоит запомнить разработчикам.
Сервер возвращал обычный успешный ответ HTTP 200.
Для системы мониторинга это могло выглядеть как нормальная работа.
Запрос принят. Ответ сформирован. Ошибки нет.
Но внутри ответа могла находиться информация другого клиента.
Получается, проверять только доступность API и успешность HTTP-запросов недостаточно.
Система способна формально работать правильно, одновременно нарушая конфиденциальность.
Почему это важно для персональных ИИ
Представьте будущее, в котором у каждого человека есть собственный ИИ-помощник.
Один обсуждает семейные вопросы. Другой загружает коммерческий договор. Третий анализирует программный код, содержащий закрытые ключи.
Внешне у каждого свой кабинет и собственная история переписки.
Но если все помощники используют общий сервер инференса, разделение пользовательских аккаунтов ещё не гарантирует правильной изоляции рабочей памяти модели.
Инцидент Cloudflare показал, что нарушение может произойти ниже уровня приложения.
Не в базе данных, не в системе авторизации и даже не в логике самого чат-бота.
А внутри механизма обработки запросов на GPU.
Это не означает, что все облачные нейросети раскрывают чужие данные. Установленная проблема касалась конкретной модели и конфигурации.
Но теперь у инженеров есть ещё один подтверждённый сценарий, который необходимо учитывать.
Что сделали разработчики
Cloudflare отключила проблемную модель, исправила конфигурацию памяти и внесла изменения в SGLang.
Теперь отклонённые запросы не должны продолжать обработку так, словно они успешно прошли проверку.
Также были усилены проверки передачи и повторного использования данных между вычислительными узлами.
Разработчикам, использующим распределённый SGLang, рекомендовано обновление до версии 0.5.22 или более поздней исправленной версии.
Но главный урок выходит далеко за пределы одного программного продукта.
Новая граница цифровой безопасности
Раньше мы главным образом боялись, что злоумышленник украдёт пароль, проникнет в базу данных или перехватит сетевой трафик.
Теперь появляется дополнительный вопрос.
А что, если данные одного человека окажутся у другого не из-за взлома, а из-за ошибки управления памятью искусственного интеллекта?
В многоарендной AI-инфраструктуре изоляция должна существовать на всех уровнях: от аккаунта и API до вычислительных процессов и памяти ускорителей.
Особенно когда нейросети получают доступ к документам, личным сообщениям, репозиториям и корпоративным системам.
Вместо заключения
В истории Cloudflare нет подтверждённой масштабной атаки хакеров.
Есть нечто не менее поучительное: реальная инженерная ошибка, которая нарушила границу между пользователями.
Именно такие случаи помогают понять, насколько сложной становится безопасность искусственного интеллекта.
Мы научились защищать соединения шифрованием. Научились разграничивать доступ к базам данных.
Теперь предстоит столь же надёжно защищать память самих вычислительных систем.
Потому что настоящий персональный ИИ должен не только помнить своего владельца. Он должен гарантированно не вспоминать чужого.
СТЕКЛЯННЫЙ МОСТ
Первоисточники
Cloudflare, 26 октября 2026. Cross-request KV cache exposure in the GLM-5.3 Workers AI model, and our remediation with SGLang.
https://blog.cloudflare.com/kv-cache-exposure-remediation/
SGLang, открытый проект движка инференса, исправления и история разработки.