Am 26. Oktober 2026 veröffentlichte Cloudflare einen Vorfallbericht, der bestätigt, dass zwischen dem 27. August und dem 9. September 2026 155 Antworten des Modells GLM-5.3 auf seiner Plattform Workers AI Daten aus Anfragen anderer Kunden enthielten. Betroffen waren nur sehr lange Anfragen mit mehr als 681.280 Tokens, und Cloudflare fand nach eigenen Angaben keine Hinweise auf gezielte Ausnutzung. Die Lehre für jedes Unternehmen, das Dateien an einen KI-Dienst schickt, ist direkt: Sie teilen die Maschinen des Anbieters mit Fremden, und die Trennung zwischen Kunden kann versagen. Was Sie diese Woche tun sollten: alle KI-Dienste Ihres Teams auflisten, jedem Anbieter die fünf Fragen unten stellen und keine personenbezogenen Daten mehr senden, die die Aufgabe nicht braucht. Wenn Sie unseren Beitrag über KI-Modelle ohne bekannten Eigentümer gelesen haben: Dieser Vorfall zeigt, dass auch ein bekannter Anbieter keine Garantie ist.

Was passiert ist, in einfachen Worten

Mit Workers AI zahlen Unternehmen nach Nutzung für KI-Modelle, die auf Cloudflares Servern laufen, statt eigene Server zu kaufen. Cloudflare bewarb für GLM-5.3 ein Kontextfenster von 1.048.576 Tokens, das Modell konnte also sehr lange Eingaben annehmen. Der Speicherpool für die Verarbeitung dieser Eingaben reichte aber nur für 681.280 Tokens. War eine Anfrage länger, hätte die Serving-Software (SGLang) sie mit einer Fehlermeldung ablehnen müssen. Stattdessen machte sie weiter, baute die Antwort aus übrig gebliebenen Speicherseiten früherer Anfragen und lieferte sie als normale, erfolgreiche Antwort aus.

Das Ergebnis: Eine kleine Zahl von Kunden erhielt Antworten mit Bruchstücken dessen, was andere Kunden gesendet hatten. Laut Cloudflare war nur GLM-5.3 betroffen, nicht die anderen Modelle.

Der zeitliche Ablauf

  • 27. August 2026: GLM-5.3 startet auf Workers AI, die Offenlegung beginnt.
  • 8. September: Sicherheitsforscher Gadi Evron von Knostic meldet das Problem über Cloudflares Bug-Bounty-Programm auf HackerOne.
  • 9. September, 13:22 UTC: Cloudflare ruft einen Vorfall aus; um 14:00 UTC, 38 Minuten später, ist das Modell offline.
  • 9. September, 19:40 UTC: Der Dienst läuft wieder, nachdem der Speicherpool korrigiert und die Serving-Software gepatcht wurde.
  • 26. Oktober: öffentliche Offenlegung, abgestimmt mit den Maintainern von SGLang und dem Forscher.

Das sind 13 Tage Offenlegung, entdeckt von einem externen Forscher und nicht von Cloudflares eigener Überwachung. Der Bericht sagt nicht, ob die betroffenen Kunden einzeln benachrichtigt wurden.

Warum das ein saudisches Unternehmen betrifft, das nie von GLM-5.3 gehört hat

Die meisten Unternehmen nutzen KI heute über einen geteilten Dienst: einen Chatbot, der Kundennachrichten liest, ein Werkzeug, das Verträge zusammenfasst, ein System, das Rechnungen einordnet. In jedem Fall reist Ihr Text zu Servern, die gleichzeitig Anfragen tausender anderer Unternehmen verarbeiten. Der Anbieter verspricht, sie getrennt zu halten. Dieser Vorfall zeigt, dass dieses Versprechen auf Konfigurationsdetails beruht, die falsch sein können, und dass der Fehler kein Zeichen geben muss: Die betroffenen Kunden erhielten eine normale Antwort, keine Fehlermeldung.

Auslöser waren hier sehr lange Eingaben. Genau dorthin bewegen sich viele Unternehmen: ein ganzes Vertragsarchiv oder die Korrespondenz eines ganzen Jahres in einer einzigen Anfrage hochladen.

Fünf Fragen an Ihren KI-Anbieter

  1. Werden meine Daten auf geteilten Maschinen verarbeitet oder auf Kapazität, die für mich reserviert ist? Reservierte Kapazität kostet mehr, beseitigt aber diese ganze Risikoklasse.
  2. Was tun Sie, wenn eine Anfrage das Limit des Modells überschreitet? Die richtige Antwort ist eine klare Ablehnung, kein stilles Abschneiden und keine Antwort, die auf etwas anderem aufbaut.
  3. Innerhalb wie vieler Stunden informieren Sie mich über einen Vorfall mit meinen Daten, und steht das im Vertrag? Das brauchen Sie, um Ihre eigenen Pflichten zu erfüllen.
  4. Speichern Sie meine Anfragen und Antworten, wie lange und wo? Daten, die nicht gespeichert werden, können später nicht in der Antwort eines anderen auftauchen.
  5. Haben Sie ein Bug-Bounty-Programm oder externe Sicherheitstests? In diesem Fall fand ein externer Forscher den Fehler.

Was das saudische Recht von Ihnen erwartet

Wenn personenbezogene Daten Ihrer Kunden oder Mitarbeiter über einen Anbieter abfließen, den Sie gewählt haben, geht die Verantwortung nicht auf den Anbieter über. Artikel 24 der Durchführungsverordnung zum Gesetz zum Schutz personenbezogener Daten (PDPL) verlangt, die zuständige Behörde innerhalb von 72 Stunden nach Kenntnis eines Vorfalls zu benachrichtigen, der den betroffenen Personen schaden kann. Ein Anbieter, der Ihnen nichts sagt oder erst Wochen später, lässt Sie diese Frist unwissentlich verpassen. Deshalb ist die dritte Frage oben keine Formalität.

Schritte für diese Woche

  • Listen Sie alle KI-Dienste auf, die Ihr Team nutzt, einschließlich kostenloser Werkzeuge, die Mitarbeiter auf eigene Faust eingeführt haben.
  • Wenn Sie GLM-5.3 auf Workers AI zwischen dem 27. August und dem 9. September 2026 genutzt haben, prüfen Sie Ihre Logs auf sehr lange Anfragen in diesem Zeitraum und wenden Sie sich an Cloudflare.
  • Entfernen Sie Namen, Ausweisnummern und Telefonnummern aus Texten, bevor Sie sie senden, sofern die Aufgabe sie nicht wirklich braucht.
  • Teilen Sie sehr große Dokumente in vernünftige Anfragen auf, statt das Modell an den Rand seines Limits zu treiben.
  • Nehmen Sie in jeden KI-Dienstvertrag eine Klausel zur Vorfallmeldung mit einer festen Stundenzahl auf.

Die Sicht von Origami

Wir sehen in diesem Vorfall keinen Grund, geteilte KI-Dienste zu meiden. Cloudflare nahm das Modell in 38 Minuten vom Netz und veröffentlichte einen ausführlichen, ehrlichen Bericht, besser als viele Anbieter es täten. Wir sehen ihn als Erinnerung daran, dass das Risiko in Details steckt, die nie auf Marketingseiten erscheinen: Speichergrößen, Fehlerbehandlung, wer überwacht. Wenn wir KI-Systeme für Kunden bauen, beginnen wir mit der Frage, welche Daten das Modell überhaupt erreichen müssen, und wählen dann je nach Sensibilität dieser Daten zwischen einem geteilten Dienst und Kapazität, die im Königreich gehostet wird.

Wenn Sie eine Prüfung der KI-Dienste Ihres Unternehmens und der Daten wünschen, die sie erhalten, kontaktieren Sie uns oder sehen Sie sich unsere Leistungen an.

Quellen