Cloudflare : son IA a glissé dans ses réponses les questions d'autres clients, comment c'est possible ?

Tu poses une question à une IA, et dans sa réponse se glissent des morceaux de la question de quelqu'un d'autre. Un inconnu, un autre client, qui a écrit quelques instants avant toi. C'est arrivé 155 fois entre le 27 août et le 9 septembre chez Cloudflare, qui vient de tout raconter le 26 octobre dans un rapport d'une franchise assez rare.

Et le plus beau, c'est la cause. Pas un pirate, pas une attaque. Un carnet de commandes trop petit, dans une cuisine où personne n'avait vérifié ce qui sortait des assiettes.

La réponse était pour toi, une partie du contenu appartenait à un autre client

Qui est concerné ?

Cloudflare, tu ne la connais peut-être pas, mais tu passes par elle tous les jours : c'est l'entreprise dont les serveurs se trouvent devant une bonne partie des sites web de la planète, pour les accélérer et les protéger. Elle loue aussi des modèles d'IA aux développeurs, avec un service qui s'appelle Workers AI. Concrètement, une entreprise qui veut mettre un assistant dans son appli, ou un résumé automatique sur son site, peut brancher un modèle hébergé chez Cloudflare au lieu d'acheter ses propres machines.

Le modèle en cause, c'est un seul : GLM-5.3, un modèle chinois de la société Zhipu. Et seulement dans un cas bien précis : quand le texte envoyé dépassait 681 280 tokens. Un token, c'est un morceau de mot, à peu près les trois quarts d'un mot. Ça fait donc dans les 500 000 mots, en gros la taille de Guerre et Paix. D'un seul coup.

Le bug ne se déclenchait que pour des envois de cette taille-là

Donc non, si tu as demandé une recette de lasagnes à un chatbot cet été, ta recette n'est pas partie chez le voisin. Les gens qui envoient des textes pareils, ce sont des entreprises qui font analyser des contrats entiers, des années de mails ou le code complet d'un logiciel. Cloudflare parle d'« un petit nombre de clients ». Mais ce sont justement eux qui envoient les documents les plus sensibles.

Comment une IA peut-elle mélanger deux clients ?

Pour répondre vite à beaucoup de monde, Cloudflare fait tourner le modèle sur deux sortes de machines, comme un restaurant. En salle, le maître d'hôtel lit ta commande en entier et prend des notes dans un carnet. En cuisine, un cuisinier lit le carnet et prépare l'assiette, c'est-à-dire la réponse. Ces notes ont même un nom chez les spécialistes, le « cache », et elles servent à ne pas relire toute la commande à chaque mot écrit.

Le carnet du maître d'hôtel pouvait contenir 681 280 tokens. Mais Cloudflare annonçait aux clients que le modèle acceptait jusqu'à 1 048 576 tokens, un peu plus d'un million. Le carnet ne faisait donc que les deux tiers de ce qui était promis. Alors, quand une commande trop longue arrivait, le maître d'hôtel la refusait, écrivait un seul mot sur la première page pour boucher le trou, et passait quand même le carnet en cuisine avec la mention « commande complète ».

Le cuisinier, lui, s'attendait à une très longue commande. Il a donc lu toutes les pages réservées. La première, c'était la tienne, presque vide. Les suivantes contenaient encore les commandes des tables d'avant, jamais effacées. Il a cuisiné avec tout ça, et tu as reçu une réponse bien propre, avec le code « tout va bien », mais avec des bouts de questions et de réponses d'autres clients dedans.

Une page refusée, puis les pages encore remplies par les commandes précédentes

Le logiciel qui gère ce va-et-vient s'appelle SGLang. C'est un logiciel libre, gratuit, dont le code est public, et beaucoup d'entreprises l'utilisent pour faire tourner leurs modèles. Le bug venait de lui : une commande refusée aurait dû être annulée, avec un message d'erreur, au lieu de partir en cuisine.

Le pire : ils connaissaient le problème

C'est la phrase du rapport qui m'a fait tiquer, et Cloudflare a le mérite de l'écrire elle-même : « Nous étions au courant de ce décalage avant le lancement. » Ils savaient que le carnet était plus petit que ce qu'ils annonçaient. Ils ont supposé que le logiciel s'en débrouillerait proprement. Leurs tests vérifiaient que le serveur répondait, et qu'il répondait vite. Pas que la réponse était la bonne !

Et le défaut du logiciel n'était pas inconnu non plus : quelqu'un l'avait signalé aux développeurs de SGLang le 6 juillet, sept semaines avant le lancement.

Bref, sur ce coup, c'est un peu comme si ton garagiste savait que les freins étaient limites, t'avait rendu la voiture parce qu'elle démarrait bien, et avait juste oublié de les essayer.

Le bon côté de l'histoire

Parce qu'il y en a un, et un vrai. La fuite a été trouvée par un chercheur en sécurité, Gadi Evron, de la société Knostic. Il l'a signalée le 8 septembre à 23 h 11 (heure universelle) via le programme de primes de Cloudflare, ce système qui récompense les gens qui signalent une faille au lieu de s'en servir. Ce qui suit est impressionnant, je te le donne heure par heure, toujours le 9 septembre :

• 13 h 22 : incident déclaré, et la fuite est reproduite 25 minutes plus tard ;
• 14 h 00 : le modèle est coupé pour tout le monde ;
• 14 h 35 : la cause est trouvée ;
• 19 h 40 : le modèle revient, réparé, avec un carnet deux fois plus grand que la plus longue commande possible.

Moins de six heures de coupure. Il y a des plombiers qui mettent plus longtemps à rappeler ! Et Cloudflare dit n'avoir trouvé aucune trace d'exploitation volontaire : les 155 réponses ressemblaient à un usage normal, pas à quelqu'un qui pêche les secrets des autres.

Ensuite, ils ont attendu. Pourquoi publier seulement le 26 octobre ? Parce que le bug était dans SGLang, donc potentiellement chez toutes les entreprises qui l'utilisent. Cloudflare a prévenu ses développeurs, qui ont publié trois versions corrigées, dont la dernière le 19 octobre, avec en prime une vérification automatique de chaque carnet transmis. Le rapport n'est sorti qu'une fois tout le monde en mesure de se protéger. C'est ce qu'on appelle une divulgation coordonnée, et c'est exactement comme ça qu'on doit faire.

Ce genre d'accident n'est d'ailleurs pas une première. Le 20 mars 2023, ChatGPT avait montré à certains utilisateurs les titres des conversations d'autres personnes, et avait pu exposer une partie des informations de paiement de 1,2 % des abonnés payants connectés pendant une fenêtre de neuf heures. Même famille de bug : un système de cache qui rend la donnée au mauvais client. Trois ans plus tard, les rapports sont bien plus détaillés, et la réparation plus rapide.

Ce que j'en retiens pour toi

Les IA que tu croises dans les applis de ta banque, de ton assurance ou de ta boutique en ligne ne tournent presque jamais chez ces entreprises elles-mêmes. Elles tournent sur des machines louées, partagées entre des dizaines de clients. La plupart du temps, ça marche très bien. Mais l'histoire de Cloudflare rappelle que ces machines partagées peuvent se tromper de destinataire.

Moi-même, j'utilise GLM-5.3 dans mes outils de développement, directement chez son éditeur, pas chez Cloudflare. Ouf, d'ailleurs. Et ça ne change pas ma règle de base, qui vaut pour toutes les IA : ce que je ne collerais pas sur une carte postale, je ne le colle pas brut dans un chatbot. Un numéro de compte, un dossier médical, le contrat d'un client : on noircit les noms et les numéros avant, ou on les remplace par des « X ». Ça prend trente secondes, et l'IA répond aussi bien. Et tant que tu y es, jette un œil aux réglages de ton assistant : la plupart ont une option pour que tes conversations ne servent pas à entraîner le modèle, et pour qu'elles soient effacées au bout de quelque temps.

Avant de demander à une IA d'expliquer un courrier, on noircit les noms et les numéros

Pour moi, Cloudflare s'en sort plutôt bien : la faute est réelle, la réparation exemplaire, et le rapport est plus honnête que bien des communiqués. Mais à l'équipe qui a lancé GLM-5.3 en sachant que le carnet était trop petit : la prochaine fois, goûtez aussi les plats avant de les servir, pas seulement le temps de cuisson !

Sources

• Cloudflare, 26 octobre 2026 : le rapport complet sur la fuite de GLM-5.3 dans Workers AI
• LMSYS, 26 octobre 2026 : la mise à jour de sécurité de SGLang
• Unite.AI : les 155 réponses et la chronologie
• OpenAI, mars 2023 : l'incident de ChatGPT du 20 mars

Article écrit avec l'aide de Claude Code, relu et corrigé par moi.