Cloudflare 称，Workers AI 上 GLM 5.3 的配置不匹配导致 KV 缓存页在不同请求间泄露

Cloudflare 于 10 月 26 日发布了披露说明和修复报告，称 Workers AI 上 GLM 5.3（@cf/zai-org/glm-5.3）的配置不匹配触发了推理引擎 SGLang 中的一个漏洞，导致 KV 缓存页在不同请求间泄露。此次披露与 SGLang 发布的一篇文章协调进行。

Cloudflare 表示，该问题从模型于 8 月 27 日上线持续到 9 月 9 日；在 155 个超过 681,280 个 token 的提示词所对应的响应中，包含了其他客户先前请求的数据。Cloudflare 称，没有证据表明有人蓄意利用该漏洞，也没有其他 Workers AI 模型受到影响。

• 原因，据 Cloudflare 介绍。 GLM 5.3 的上下文窗口设为 1,048,576 个 token，但其预填充 GPU 上的 KV 缓存池只能容纳 681,280 个 token。在 SGLang 的预填充/解码分离模式下，超长提示词不会被报错拒绝；解码节点会读取仍留有先前请求数据的缓存页。Cloudflare 称，上线前已知晓这一容量不匹配，但测试只检查了 HTTP 状态码和速度，没有检查输出。
• 应对措施。 Knostic 的安全研究员 Gadi Evron 于 9 月 8 日通过 HackerOne 报告了该问题。Cloudflare 在次日上午复现问题，并在宣布发生安全事件后的 40 分钟内下线模型；当天通过扩大缓存池（约 204 万个 token）并修补引擎恢复了服务。
• 给 SGLang 运维人员的建议。 Cloudflare 建议使用 SGLang v0.5.22 或更高版本运行分离式部署，并在每个节点上检查 KV 缓存池大小是否与上下文长度匹配。