Workers AI: Mandantentrennung nach dem GLM-5.3-Bericht prüfen

Cloudflare berichtet am 26. Oktober 2026 über @cf/zai-org/glm-5.3: Exposition vom 27. August bis zur Behebung und Wiederfreigabe am 9. September; andere Workers-AI-Modelle seien unbetroffen. Ursache seien Konfiguration und Ablehnungspfad verteilter SGLang-Inferenz. Eigenen disaggregierten SGLang-Betreibern empfiehlt der Bericht v0.5.22 oder neuer. Das ist weder eine Aussage zur heute neuesten Version noch eine universelle Sicherheitszusage. (Cloudflare)

Was der Bericht für die eigene Prüfung bedeutet

Die übertragbare Frage lautet: Welche Komponente stellt sicher, dass ein Request ausschliesslich seinen eigenen Zustand lesen darf? Dazu gehören nicht nur gespeicherte Chats, sondern auch vorübergehender Inferenzzustand. Ein Zugriffstoken am API-Eingang beantwortet diese Frage für die nachfolgenden Schichten noch nicht.

Beobachtung und Schlussfolgerung getrennt dokumentieren

Knostic beschreibt, wie alternative Erklärungen für ungewöhnliche Antworten geprüft wurden. Der Forscherbericht vermerkt die Mitteilung der behobenen und geschlossenen Meldung am 24. September. Dieser Kommunikationszeitpunkt ist nicht dasselbe wie Cloudflares angegebener Zeitpunkt der technischen Wiederfreigabe. (Knostic)

Ein brauchbarer interner Eintrag enthält den beobachteten Vorgang, die Modell- und Anbieterroute sowie die noch offenen Erklärungen. Er sollte nicht aus einem fremd wirkenden Dateinamen allein eine bestätigte Datenpanne machen. Umgekehrt ist «Halluzination» keine ausreichende Erklärung, wenn Hinweise auf einen anderen aktuellen Kontext bestehen.

Begrenzen Sie die Einsicht in auffällige Inhalte auf die zuständigen Personen. Sammeln Sie nicht weiter fremde Daten, um eine Vermutung zu bestätigen. Der Anbieter benötigt einen sicheren Meldeweg und möglichst wenig, aber ausreichend Zuordnungsinformation. Eine rechtliche Bewertung eines konkreten Vorfalls erfordert dessen tatsächliche Umstände.

Eine Abnahme mit eigenen synthetischen Mandanten planen

Das folgende Verfahren ist ein Vorschlag, kein durchgeführter Test und keine Anleitung zur Reproduktion des veröffentlichten Fehlers. In einem ausdrücklich freigegebenen isolierten Testbereich werden zwei eigene synthetische Mandanten mit unterschiedlichen, bedeutungslosen Markierungen eingerichtet. Echte Kundeninformationen gehören nicht hinein.

• Legen Sie für erlaubte Anfragen fest, welcher eigene Kontext sichtbar sein darf und welche andere Markierung niemals erscheinen soll.
• Prüfen Sie im genehmigten Testumfang auch reguläre Ablehnungen, Abbrüche und anschliessende neue Anfragen. Ein Fehlerpfad benötigt eine ebenso klare Zustandsgrenze wie ein Erfolgsfall.
• Bewerten Sie Inhalt und Zuordnung der Antwort, nicht nur Statuscode oder Latenz. Ein HTTP 200 bestätigt weder Kontexttreue noch Mandantentrennung.
• Dokumentieren Sie Version, Route, Erwartung und Beobachtung. Eine kleine bestandene Stichprobe beweist keine vollständige Fehlerfreiheit; sie ist ein Baustein der Abnahme.

Wann ein Ablauf wieder genutzt werden darf

Definieren Sie die Bedingungen vor der Entscheidung: eingegrenzter betroffener Pfad, nachvollziehbare Anbieterantwort oder eigene Korrektur, geprüfte Schutzmassnahmen und Zuständigkeit für weitere Auffälligkeiten. Kritische Folgeaktionen sollten eine zusätzliche überprüfbare Freigabe haben, wenn ihre Eingaben unsicher sind.

Workers AI ist ein kommerzieller Dienst; eine beliebige kostenlose Nutzung, bestimmte Datenregion oder regulatorische Eignung folgt aus dem Bericht nicht. Beim Eigenbetrieb kommen Infrastruktur, Aktualisierung und kontrollierte Tests hinzu. Hier wurden weder Kosten gemessen noch Kundensysteme untersucht. Die erste praktische Aufgabe ist deshalb eine präzise Frage an den tatsächlich verantwortlichen Betreiber.