Запуск GLM-5.3 от Cloudflare прошел не так, как планировалось, но проблема заключалась не в самой модели

Каждому разработчику знакомо то легкое беспокойство, которое вызывает зелёная галочка, которой до конца не доверяешь. Около двух недель код успешного выполнения скрывал проблему: 155 ответов на чрезмерно длинные запросы содержали фрагменты сеансов других клиентов. Эта история не о несовершенной модели, а о том, как она была запущена и протестирована.

GLM-5.3 — это модель генерации текста от Z.ai, разработанная для рабочих процессов агентного кодирования, которую Cloudflare предоставляет в рамках сервиса Workers AI.

Согласно отчету Cloudflare об инциденте от 26 октября, утечка продолжалась с 27 августа по 9 сентября 2026 года. Наше мнение: причиной стала не сама модель и не атака, а выбор настроек в сочетании с ошибкой в механизме вывода. Веса модели не сыграли никакой роли.

Так что же такое GLM-5.3?

Компания Z.ai была известна как Zhipu AI до тех пор, пока в июле 2025 года не провела ребрендинг на международном рынке; она возникла на базе исследовательской группы Университета Цинхуа. Семейство моделей GLM зародилось в декабре 2021 года как проект по созданию двуязычной модели «китайский-английский». GLM-5.3 была запущена 14 августа 2026 года, и, согласно описанию модели Z.ai, она построена на базе модели, лежащей в основе GLM-5.2, причём все улучшения были достигнуты за счёт дообучения.

По сути, это модель типа «смесь экспертов», то есть при обработке каждого токена задействуется лишь часть её параметров — около 40 миллиардов. Весовые коэффициенты были размещены на Hugging Face 31 августа 2026 года в соответствии с собственной лицензией Z.ai, а не лицензией MIT.

В сервисе Workers AI компания Cloudflare запускает модель на своих собственных графических процессорах, поэтому разработчики вызывают её по имени, а не занимаются управлением аппаратным обеспечением.

Что же на самом деле произошло 9 сентября?

Проблема началась с несоответствия, о котором было известно ещё до запуска. Модель запускалась с окном контекста размером 1 048 576 токенов, но кэш на графических процессорах, используемых для предварительной загрузки, мог вместить лишь 681 280 токенов. Команда знала об этом и сочла это безобидным, поскольку тесты с длинным контекстом давали успешные результаты.

Затем ошибка в движке превратила этот пробел в уязвимость. В режиме дезагрегации SGLang запросы, превышающие допустимую длину, помечались как отклоненные, заменялись заполнителем из одного токена и передавались дальше, а декодер считывал устаревшие страницы кэша из предыдущих запросов. Клиенты получали HTTP 200 вместо ошибки. Другой пользователь публично сообщил об этой уязвимости 6 июля 2026 года, поэтому предупреждение существовало задолго до того, как утечка была обнаружена. Именно поэтому зелёный код статуса не является доказательством корректности ответа.

Как только исследователь сообщил об утечке, на реагирование ушло всего один день. Исследователь в области безопасности Гади Эврон из компании Knostic сообщил об этом через HackerOne 8 сентября 2026 года. Проверка началась в 08:00 UTC следующего дня, а в 13:22, после того как утечку удалось воспроизвести с помощью двух учетных записей, был объявлен инцидент. Модель была переведена в закрытый режим в 14:00 и вновь стала доступной в 19:40 UTC. Исправление было выполнено быстро после того, как кто-то сообщил о проблеме, но сама утечка оставалась незамеченной около двух недель.

Продолжительность сбоя модели зависит от того, кто ведет подсчет. По некоторым данным, период отсутствия доступа составил примерно 20 часов, однако этот отсчет ведется с момента публикации отчета, тогда как для определения продолжительности сбоя используются данные самой компании Cloudflare. Исправление было протестировано с использованием собственной реконструкции проблемы исследователем и тестов с помощью «канарейки» до того, как модель возобновила работу тем же вечером, а проект SGLang был проинформирован об этом в тот же день.

В цифрах

• 155: подтвержденных ответов, затронувших все запросы объемом более 681 280 токенов
• 1 048 576: количество токенов в контекстном окне GLM-5.3
• 128K: количество токенов при максимальной производительности
• 2,04 млн: количество токенов, находящихся в настоящее время в пуле предварительного заполнения
• С 14:00 до 19:40 UTC: время, в течение которого модель не работала 9 сентября 2026 года
• 1: это касается данной модели, поскольку в других развертываниях используются более объёмные пулы кэша

Почему всё это всплывает именно сейчас?

Полная версия статьи появилась с опозданием. Отчет был опубликован примерно через семь недель после устранения уязвимости. Это произошло уже после ажиотажа, связанного с запуском модели, и после оценки безопасности, проведенной CAISI — подразделением американского органа по стандартизации NIST. Впереди еще много новостей, поскольку позже должен появиться собственный отчет исследователя об обнаружении и подтверждении уязвимости.

CAISI пришла к выводу, что GLM-5.3 является наиболее кибер-компетентной моделью с открытым весом из выпущенных на сегодняшний день, хотя её кибер-компетенции значительно уступают современным передовым моделям США. По оценкам организации, отставание составляет около четырёх месяцев, при этом GLM-5.3 получила более высокую оценку, чем Kimi K3. Эта оценка является одной из причин, по которой статья появилась именно в это время.

Дискуссия разделилась по привычным линиям. Грег Брокман из OpenAI предупредил, что модель с открытыми весами, вероятно, ускорит развитие угроз, в то время как бывший аналитик Министерства обороны Джейк Уильямс утверждал, что злоумышленники уже располагают сопоставимыми инструментами. Обе стороны выглядят перегретыми, поскольку собственное заключение CAISI занимает промежуточную позицию между ними. Для вас это означает, что выбирать модель следует исходя из её производительности и способа развертывания, а не по самым громким заголовкам о безопасности.

Это хорошая вещь и стоит ли она недорого?

Наиболее впечатляющие цифры приводит сама компания Z.ai. В описании модели утверждается, что она на 50 % превосходит результаты внутреннего теста Code Bench, однако сама лаборатория сообщает, что Fable 5 по-прежнему лидирует. Результаты независимых тестов более скромны, поэтому лучше доверять внешним тестам, а не информации на странице анонса.

По сравнению с Kimi K3, ближайшим конкурентом, результаты практически равны. Kimi K3 выигрывает в 5 из 9 общих тестов, а также поддерживает обработку изображений, чего не делает GLM-5.3. Окно контекста у них одинаковое, а Kimi K3 значительно превосходит GLM-5.3 по количеству параметров.

GLM-5.3 выгодно отличается по цене. Собственный прейскурантный ценник Z.ai составляет 1,40 доллара за миллион входных токенов, и модель обходится примерно в 3,0 раза дешевле за токен, чем Kimi K3. Однако каталожные цены не отражают реальную стоимость длительных циклов работы агента, поскольку задача, требующая максимальных усилий, обходится дороже, чем задача, не требующая больших затрат.

Здесь следует отметить один пробел: в имеющихся данных отсутствуют цены Workers AI на GLM-5.3, а на странице сравнения Workers AI вообще не указана. Преимущество по стоимости, вероятно, действительно существует при ценах Z.ai, но в случае с Workers AI оно не подтверждено.

Что это означает, если вы разрабатываете на базе Workers AI

По нашему мнению, GLM-5.3 подходит для команд, разрабатывающих агентов для написания кода или конвейеры проверки кода, которым нужна мощная открытая модель без необходимости управления графическими процессорами. Альтернативой является самостоятельное развертывание, для которого требуется как минимум 8 графических процессоров класса H200 или выше, поэтому такой подход имеет смысл только в том случае, если вы хотите контролировать собственное оборудование. Она менее подходит для работы с конфиденциальными данными при экстремальных длинах контекста, для команд, которым требуется обработка изображений, или для покупателей, на которых наложены ограничения на закупки у поставщиков из КНР.

Помогут несколько полезных приёмов. Отправляйте заголовок x-session-affinity для сеансов агента, ограничивайте длину запроса на ввод данных в собственном шлюзе и проверяйте содержимое вывода, а не только коды статуса. В отчёте об инциденте можно проверить, был ли ваш аккаунт среди затронутых запросов.

Ресурсы бессерверной инфраструктуры используются совместно, и строгих гарантий обработки нет. Это важно, поскольку асинхронный API является рекомендуемым способом реализации надежных рабочих процессов, поэтому командам, выполняющим длительные задания, следует начинать именно с него. Перед внедрением ознакомьтесь с текущей страницей с ценами на Workers AI и проведите тестирование модели на своих собственных задачах.

К чему это ведет

Мы считаем, что GLM-5.3 — это надежная недорогая модель кодирования, которая по своим возможностям немного уступает моделям с закрытой границей. Количество затронутых ответов свидетельствует об ограниченном ущербе, но это не означает, что его наличие было исключено.

Базовый сценарий предполагает стабильный рост числа кодирующих агентов, ориентированных на оптимизацию затрат, при условии, что увеличенный пул кэша и исправление в SGLang v0.5.22 будут работать стабильно. Риск заключается в том, что появление новых подробностей может подорвать доверие, и осторожные предприятия перейдут на закрытые или другие хостинговые модели. Следите за любыми изменениями в количестве затронутых систем и в методах тестирования модели.

Что касается функциональных возможностей, возможно, вскоре выйдет очередная версия Z.ai, а четырехмесячное отставание CAISI — это лишь моментальный срез. Индивидуальная лицензия и поэтапный выпуск могут повлиять на то, кто решит внедрить эту технологию. Что стоит проверить в следующий раз: опубликованная цена на Workers AI, отчет исследователя и новые результаты CAISI.

Источники 12unite.ai, BigGo Finance, Cloudflare и ещё 9 источников

1. unite.ai (Oct 26, 2026). Cloudflare Says GLM-5.3 Bug Leaked 155 Responses Across Tenant Sessions. Miles Okada
2. BigGo Finance (Oct 27, 2026). Cloudflare Confirms AI Platform Data Leak: 155 Responses Mixed With Other Users' Requests, Ultra-Long Contexts Blamed — BigGo Finance. BigGo Finance
3. Cloudflare (Oct 26, 2026). Cross-request KV cache exposure in the GLM-5.3 Workers AI model (155 responses)
4. LLMLearner (Sep 5, 2026). GLM-5.3 Benchmark Results Analysis & Model Comparisons
5. explainx.ai (Jun 29, 2026). GLM-5.3 Vision: Zhipu Community Wishlist Explained. Yash Thakker
6. Turing Post (May 4, 2024). Zhipu AI (Z.ai): Founders, GLM Models, and Hong Kong IPO. Ksenia Se
7. Tech AI Wire (Aug 31, 2026). GLM-5.3 weights ship under a custom license and need eight .... Tech AI Wire Team
8. NIST (Sep 17, 2026). CAISI’s Assessment of Z.ai’s GLM-5.3 Cyber Capabilities
9. lmsys.org (Oct 26, 2026). SGLang security update: improving request isolation - LMSYS Org
10. Emergent (Aug 20, 2026). GLM 5.3 Review: What the AI Community Is Actually Saying
11. LLM Stats (Aug 14, 2026). GLM-5.3 vs Kimi K3: Benchmarks, Pricing & Which Is Better in 2026. LLM Stats
12. Cloudflare (Mar 19, 2026). Powering the agents: Workers AI now runs large models, starting with Kimi K2.5. Michelle Chen

Обновлено 27 окт. 2026. Статья основана на материалах и данных из этих источников; ссылки в тексте ведут к самым важным из них.