Cloudflare 曝 GLM-5.3 跨用户 KV 缓存泄漏：155 条响应串号复盘
Cloudflare Blog · rss · 2026-10-27
事件概述
9 月 8 日安全研究员 Gadi Evron（Knostic）通过 HackerOne 报告：Cloudflare Workers AI 上的 @cf/zai-org/glm-5.3 模型存在租户隔离问题——超长 prompt 的响应中会带出其他用户会话的数据。受影响窗口为 8 月 27 日至 9 月 9 日，共 155 条响应受影响，全部是超过 681,280 token 的 prompt。Cloudflare 复现后 40 分钟内下线模型，次日修复恢复，确认无刻意利用痕迹，其他模型不受影响。
根因：两个问题叠加
- 配置失配：模型上下文窗口配置为 1,048,576 token，但 prefill GPU 的 KV cache 池只装得下 681,280 token。上线前已知此失配，但测试只验证了 HTTP 状态码与性能，未验证输出内容，误以为引擎能优雅处理。
- SGLang bug：在 disaggregated prefill/decode 模式下，超长请求被标记拒绝并用单 token 占位符替换，但 prefill 仍为占位符生成 KV cache 并传输给 decode 节点；decode 节点以为缓存已被完整覆盖，实际大部分保留着前序请求的数据，于是响应在旧缓存页上生成，泄漏他人会话内容。
修复与加固
- 调整配置使 KV 池容纳约 204 万 token（约为上下文的两倍），合法请求永不触发拒绝路径。
- 给 SGLang 打补丁：带拒绝状态的请求在分发准入队列即被终止并返回原始错误，不再进行 KV 传输；decode 节点还会校验传输 token 数与预留数一致。相关修复已提交上游（#38704、#38935），v0.5.21 已修复，并与 SGLang 官方协同披露。
- 流程改进：上线前直接从运行中的引擎校验 KV 池大小与上下文长度，而非从响应码推断。
「Infra」频道最新
- WireGuard 教程：设备跨网络加密互连，无需暴露应用 — victorialslocum · 2026-10-27
- DeepSeek-V4.1-Flash 1.75bpw 量化版上线，专供 128GB Mac 本地跑 — bobby-chan · 2026-10-27
- Unsloth 发布 DeepSeek-V4.1-Flash 本地运行指南：128GB 内存可跑 1M 上下文 — gnukeith · 2026-10-27
- SK hynix 股价腰斩但 DDR5 现货涨 31%，市场押注存储景气和memory周期见顶 — tengyanAI · 2026-10-27
- JustGOAL 论文:通用前沿模型打赢 GPU 内核优化专用 Agent — azed_ai · 2026-10-27
- NVIDIA Nemotron-3.5 Bolt 74B-A9B：9B 激活参数逼近 Super 版成绩 — ryanshrout · 2026-10-27