클라우드플레어, 분산 서빙 결함으로 발생한 LLM 캐시 노출 사고 보고서 공개

타 테넌트 캐시 데이터 노출

클라우드플레어는 워커스 AI에서 호스팅하던 GLM-5.3 모델에서 다른 사용자의 요청 데이터가 섞여 반환되는 테넌트 격리 문제가 발생했다고 밝혔다. 2026년 8월 27일 모델 출시 이후 9월 9일까지 총 155건의 응답에서 타인의 세션 데이터가 노출된 사실이 확인됐다.

영향을 받은 요청은 모두 68만 1,280토큰을 초과하는 긴 입력값을 전달한 경우였다. 자체 테스트와 연구자의 재현 검증을 제외한 일반 요청의 패턴을 분석한 결과, 고의적인 취약점 악용 시도는 발견되지 않았으며 일반적인 긴 문맥 사용 중에 발생한 것으로 나타났다. 워커스 AI의 다른 모델은 영향을 받지 않았다.

설정 불일치와 엔진 결함의 결합

해당 취약점은 운영 설정의 불일치와 오픈소스 분산 추론 엔진의 소프트웨어 결함이 맞물리며 발생했다. 클라우드플레어는 GLM-5.3의 컨텍스트 길이를 104만 8,576토큰으로 배포했으나, 사전 연산 그래픽 처리 장치의 키-값 캐시 풀은 68만 1,280토큰 분량만 수용할 수 있도록 구성되어 있었다.

추론 엔진은 사전 연산 단계와 디코딩 단계가 분리된 구조로 동작하고 있었다. 허용 풀을 초과한 요청이 인입되었을 때 스케줄러가 이를 거부 상태로 표기하고 단일 토큰 임시값으로 치환했으나, 분산 환경의 진입 큐가 거부 상태를 완료되지 않은 정상 요청으로 인식해 디코딩 노드로 작업을 인계했다.

디코딩 노드는 전체 입력값에 맞춰 8페이지의 메모리를 미리 확보했으나 실제로는 단일 토큰 분량인 1페이지만 덮어쓰기 전송을 받았다. 이후 나머지 7페이지의 메모리는 초기화되지 않은 채 과거 다른 사용자의 요청 데이터가 남아 있는 상태에서 그대로 참조되어 잘못된 응답이 생성됐다.

긴급 조치와 소프트웨어 패치

클라우드플레어는 2026년 9월 8일 버그 바운티 프로그램을 통해 취약점 제보를 접수하고 다음 날 조사를 시작했다. 보안 사고를 선언한 뒤 약 40분 만에 해당 모델을 비공개로 전환하여 서비스 접근을 차단했다.

운영팀은 사전 연산 캐시 풀 용량을 약 204만 토큰으로 확장 조정하여 104만 토큰의 컨텍스트가 모두 수용되도록 설정을 변경했다. 이로써 정상적인 요청이 거부 처리 분기로 진입하지 않도록 방지했다.

이와 동시에 사전 연산 스케줄러에서 거부된 요청이 메모리 할당이나 캐시 전송 단계로 이어지지 않고 분산 진입 큐에서 즉시 종료되도록 엔진 패치를 적용했다. 해당 조치들을 검증한 뒤 사고 선언 당일 서비스를 정상 복구했다.

운영 권고사항과 기술적 한계

클라우드플레어는 분산 모드로 동일한 추론 엔진을 구동하는 인프라 운영자들에게 주의를 당부했다. 엔진 시작 시 출력되는 로그를 통해 캐시 풀 크기가 실제 모델 컨텍스트 길이 이상인지 반드시 직접 대조해야 하며, 프록시 계층의 제한에만 의존해서는 안 된다고 명시했다.

또한 거부 처리 결함과 캐시 경합 문제를 수정한 최신 엔진 버전으로 업그레이드하고, 지연 해제 설정과 전송 배치 크기 제한을 적용할 것을 권고했다. 클라이언트 연결 해제로 인해 노드 간 전송 중 불필요한 중단이 발생하지 않도록 부하 분산 장치 설정을 조정하는 방안도 제시됐다.

현재 적용된 무결성 검증이나 카나리 감지 기법은 모든 모델 구조를 포괄하지 못한다는 한계가 있다. 클라우드플레어는 장기적으로 메모리 페이지 단위의 소유권 태그를 검증하는 체계를 구축하고, 원격 직접 메모리 접근 기반의 캐시 전송 프로토콜에 형식 검증 방식을 도입하여 분산 환경의 안전성을 보증해 나갈 방침이다.