Cloudflare 揭露 GLM-5.3 跨請求 KV 快取洩漏事件，並說明 SGLang 修復措施

2026 年 9 月 8 日，資安研究員 Gadi Evron 向 Cloudflare 回報 Workers AI 上運行的 GLM-5.3 模型存在跨租戶隔離問題。在 2026 年 8 月 27 日至 9 月 9 日期間，共有 155 則長度超過 681,280 代幣（tokens）的請求回應，夾帶了先前其他客戶發送至同模型的快取資料。Cloudflare 於 9 月 9 日宣布資安事件後 40 分鐘內將模型下線，並於當日完成配置調整與引擎修補後恢復服務。 根據 Cloudflare 說明，該漏洞由兩項問題重疊所致：第一是配置失誤，GLM-5.3 被配置為支援 1,048,576 代幣的上下文長度，但預填充（prefill）GPU 的 KV 快取池僅能容納 681,280 代幣；第二是開源推論引擎 SGLang 在解耦模式（disaggregated mode）下的邏輯錯誤，超長請求被標記為拒絕並替換為單一代幣佔位符後，准入佇列仍將其視為有效請求，導致預填充節點僅傳輸 1 頁快取，而解碼節點卻直接讀取未清零的保留分頁，因而讀到先前請求留下的殘存文字。 Cloudflare 目前已將預填充 KV 快取池擴大至約 204 萬代幣，並修補引擎使其在准入階段即提早終止被拒絕的請求，避免進行記憶體配置或傳輸。SGLang 維護團隊隨後於 v0.5.20 至 v0.5.22 等版本合併了相關修復程式碼。Cloudflare 表示未發現惡意利用跡象，且 Workers AI 上的其他模型均未受影響。

值得帶走的重點

• Workers AI 的 GLM-5.3 模型在 2026 年 8 月 27 日至 9 月 9 日間出現跨租戶資料洩漏，共有 155 則超過 681,280 代幣的請求受到波及。
• 根本原因在於預填充 KV 快取池小於宣告上下文長度，且 SGLang 解耦模式錯誤地放行被拒絕的超長請求，導致解碼節點讀取未覆寫的殘留 GPU 記憶體。
• Cloudflare 將預填充快取池擴大至約 204 萬代幣，並撰寫補丁確保被拒絕的請求在排程前即被中斷，防止未清零快取傳遞。
• 相關修復已整合進 SGLang v0.5.20 至 v0.5.22 版本，Cloudflare 建議使用該引擎的營運團隊升級至 v0.5.22 或更新版本。