【ITニュース解説】Cross-request KV cache exposure in the GLM-5.3 Workers AI model, and our remediation with SGLang

Cloudflareが提供するWorkers AI上で稼働する大規模言語モデルGLM-5.3において、異なるユーザーのリクエスト間で機密情報が露呈する可能性のある潜在的な脆弱性が発見され、迅速に対応された。この問題は、AIモデルの特定の構成と、それを効率的に動かすための推論フレームワークであるSGLangの連携において、設定のミスマッチがあったために発生したものである。

まず、背景にある技術について説明する。Workers AIは、Cloudflareが提供するサーバーレスプラットフォーム上で、開発者が手軽にAIモデルを利用できるサービスである。大規模言語モデル（LLM）の一つであるGLM-5.3は、テキスト生成能力を持つ強力なAIモデルであり、質問応答や文章作成など、多岐にわたる用途で活用されている。

LLMは、入力されたテキストから次の単語を予測し、連鎖的に文章を生成することで機能する。この予測プロセスでは、Attentionメカニズムという計算が重要な役割を果たす。Attentionメカニズムは、入力テキストのどの部分に注目すべきかを判断し、その情報を元に次の単語を決定する。長い文章を生成する際、AIは過去に処理した単語の情報を何度も参照する必要があるが、毎回同じ計算を繰り返すのは非常に効率が悪い。そこで登場するのが「KVキャッシュ（Key-Value Cache）」である。KVキャッシュは、Attentionメカニズムで計算された中間結果（KeyとValueと呼ばれるデータ）を一時的に保存しておくメモリ領域である。AIは過去の計算結果を再利用でき、推論速度が大幅に向上する。

今回の問題は、このKVキャッシュの管理に生じた。具体的には、GLM-5.3モデルの特定の構成と、AI推論を効率化するフレームワークであるSGLangとの連携において、設定のミスマッチが発生した。SGLangは、AIモデルの推論処理を高速化するために、KVキャッシュのようなメモリ領域を効率的に管理する役割を担う。通常、SGLangは異なるユーザーからのリクエスト（例えば、ユーザーAからの質問とユーザーBからの質問）に対して、それぞれ独立したKVキャッシュ領域を割り当てる。これにより、ユーザーAの情報がユーザーBのリクエスト処理に影響を与えたり、その逆が起こったりすることを防ぎ、セキュリティとプライバシーを確保している。

しかし、今回のケースでは、GLM-5.3の特定の構成（特に、通常のモデルよりも多くのメモリを必要とするような設定）がSGLangのメモリ管理ロジックと衝突した。SGLangはKVキャッシュ用のメモリを「ページ」という単位で管理しているが、このミスマッチにより、本来は独立しているべき異なるリクエスト間で、KVキャッシュのページが誤って共有されてしまう事態が発生したのである。

この「KVキャッシュの露出」とは、ユーザーAのリクエストで生成されたKey-Valueデータが、誤ってユーザーBのリクエスト処理中に利用されたり、あるいはその内容がBのリクエスト処理から見えてしまったりする危険性があることを意味する。これは、ユーザーがAIに入力した個人情報や機密情報が、意図せず他のユーザーに漏洩する可能性を示唆しており、セキュリティ上、極めて重大な問題である。また、情報漏洩だけでなく、AIの推論結果が不正になる可能性も考えられる。他者のKVキャッシュデータが混入することで、AIが生成するテキストが、本来の意図とは異なる、あるいは意味不明なものになってしまうこともあり得る。

この問題の解決には、SGLangの開発元であるStanford UniversityのMLSys LabとCloudflareが密接に連携した。SGLangは、LLMの推論効率を高めるための重要なツールであり、KVキャッシュの管理はその核となる機能の一つだ。問題の原因は、GLM-5.3の特定のメモリ要件をSGLangが適切に扱えていなかった点にあった。CloudflareはSGLangの挙動を深く調査し、KVキャッシュのページ管理ロジックに潜むバグを特定した。そして、SGLangのメモリ割り当てと解放のメカニズムを改善し、いかなるモデル構成においても、異なるリクエスト間でKVキャッシュのページが確実に分離されるように修正を施した。具体的には、メモリプールからのページ割り当ての安全性を高め、リクエストのライフサイクルとKVキャッシュのページとの関連付けをより厳密に管理するよう変更された。

この修正は迅速にWorkers AI環境にデプロイされ、徹底的な検証が行われた結果、問題が完全に解消されたことが確認された。ユーザーの情報が実際に外部に露呈したという証拠は見つかっていないが、潜在的なリスクは極めて高かったため、早期の発見と対応が不可欠であった。

今回の事例は、大規模なAIシステムを構築・運用する上で、複数の技術コンポーネントが連携する際の複雑さと、それに伴う潜在的なリスクを浮き彫りにした。AIモデル自体の安全性だけでなく、それを動かすための推論フレームワークやインフラストラクチャの設定まで、あらゆる層での厳密な検証とセキュリティ対策が不可欠である。特に、メモリ管理のようなシステムの中核部分に存在するバグは、広範囲にわたる影響を及ぼし、情報セキュリティに直接関わる重大な問題へと発展する可能性を常に考慮しなければならない。システムエンジニアを目指す上で、このような事例は非常に参考になる。単一の技術要素だけでなく、システム全体の構成や各コンポーネント間の連携に着目し、潜在的な脆弱性を見抜く視点や、問題が発生した際の迅速な原因究明と解決能力が求められることを示している。