AIの「記憶」が他人の回答に混ざった。Cloudflareの155件が示す推論基盤の盲点

AIに渡した文章は、回答が終わればほかの利用者から切り離されている。多くの人が当然と思うその境界が、モデルを動かす基盤の不具合によって破られた。Cloudflareが10月26日に公表したのは、同社のWorkers AIで提供していたGLM-5.3が、別の顧客のリクエストに由来する内容を回答に混ぜた事案だ。影響が確認されたのは155件の回答。155人の利用者が被害を受けた、という意味ではない。

「長い入力」が引き金になった

問題が起きた期間は2026年8月27日から9月9日。対象の回答はいずれも、68万1280トークンを超える長い入力への応答だった。CloudflareはGLM-5.3を最大104万8576トークンのコンテキスト長で提供していたが、入力を処理するGPU側のKVキャッシュ領域は68万1280トークン分しかなかった。

KVキャッシュは、モデルが文章を読み進めるときに使う計算上の中間情報だ。ここでいう「KV」は、Cloudflareのデータ保存サービス「Workers KV」を指さない。AIの推論を速く動かすためのメモリ領域で、複数の顧客が同じ基盤を使う際には、リクエストごとの分離が欠かせない。

本来なら、領域に収まらない入力はエラーで止まるはずだった。ところが推論エンジン「SGLang」の不具合が重なり、内部では拒否されたリクエストが、短い代替入力に置き換わったまま回答生成側へ渡された。生成側は必要なキャッシュがすべて上書きされたと思い込み、前のリクエストの情報が残る領域も参照した。その結果、別の顧客の内容が回答に現れたという。

見えている影響と、見えていない影響

Cloudflareは、対象はWorkers AI上のGLM-5.3のみで、ほかのモデルへの影響は確認されていないと説明する。また、調査で見つかった利用状況は通常の長文入力と整合し、意図的な悪用の証拠は見つからなかったとしている。これは悪用が絶対になかったという証明ではない。公開資料には、混入した情報の内容や、影響を受けた顧客の総数も示されていない。

研究者から9月8日に報告を受けたCloudflareは翌日に問題を再現し、モデルを一時停止した。キャッシュの容量設定と推論エンジンを修正して同日中に提供を再開。その後、SGLang側でも修正が公開され、Cloudflareは分散構成でSGLangを運用する事業者に、容量の確認とバージョン0.5.22以降への更新を勧めている。

日本のAI導入で確かめたいこと

企業がAIに社内文書や顧客情報を渡すとき、検討はモデルの学習利用や保存期間に向かいやすい。今回の事案が示したのは、推論中の一時的なメモリにも顧客間の境界があるということだ。長い入力を扱えると宣伝するだけでなく、その上限まで実際に安全に処理できるか、容量超過で確実に失敗するかを確かめる必要がある。

利用企業にとっては、提供事業者がどのモデルと期間を影響範囲として示しているか、事故時にどの粒度で調査・通知できるかが確認点になる。自社で推論基盤を運用するなら、コンテキスト長とキャッシュ容量の整合、拒否されたリクエストが生成処理へ進まないこと、顧客をまたいだ情報混入を検知する仕組みを試したい。

AIの安全性は回答文の内容だけでは測れない。別の人の入力が混ざらないという、目に見えない基盤の約束も含まれる。今回の155件は、その約束を設定値とエラー処理の両方で守る必要を具体的に示した。

---

出典：Cloudflareの事案報告（2026年10月26日）、SGLangチームの技術説明（同日）。影響範囲と対処は各社の公表内容に基づく。日本の導入現場への示唆はLocalLensJapanの分析。