Cloudflare 披露 GLM-5.3 缓存越权：155 条超长请求回复混入他人会话
10 月 26 日，Cloudflare 与开源推理引擎 SGLang 协同披露一起租户隔离事故：8 月 27 日至 9 月 9 日，Workers AI 上托管的 GLM-5.3（@cf/zai-org/glm-5.3）有 155 条回复里混入了其他客户稍早发往同一模型的请求数据，受影响的全部是超过 681,280 token 的超长提示。研究者 Gadi Evron（Knostic）于 9 月 8 日经 HackerOne 报告，次日上午复现，模型当天转为私有，9 月 9 日恢复。
根因是两处问题叠加。一是配置：模型上下文窗口设为 1,048,576 token，而预填充 GPU 上的 KV 缓存池只有 681,280 token 容量，这个不匹配上线前已知。二是引擎：SGLang 在分离式预填/解码模式下，装不下的请求被标记为拒绝、替换成一枚单 token 占位符继续预填，解码节点收到的是占位符的 KV 缓存，而缓存页在请求之间不做清零，于是同一池子上一个请求的内容被回吐出去。该问题 7 月 6 日已由他人报给 SGLang（issue #30233），v0.5.21 修复。
处置上，Cloudflare 把预填池扩到约 204 万 token（约为上下文长度的两倍），并让拒绝路径安全中止而非继续下发，用研究者复现脚本与自有探针各验一遍。官方称未发现蓄意利用，其他模型因池子大于上下文而不受影响；并把「长上下文只验证 HTTP 状态码与吞吐、不验证输出连贯性」列为这次最关键的测试缺口。
原文链接：Cloudflare 官方博客
核验记录
单页直读 200 / 308,634 字节；JSON-LD datePublished 与 article:published_time 同为 2026-10-26T22:01:23.889Z（= 10-27 06:01 CST），date 取官方展示日 10-26。69 个 <p> 逐段读过：155 条、681,280 token 阈值、8-27 起、9-8 报告人 Gadi Evron（Knostic）、9-9 恢复、SGLang issue #30233（7-6）、v0.5.21 修复、预填池扩至约 204 万 token 均逐字取自原文。注意这是「过去事件的披露日」：事发 8-27～9-9，本条的新闻点是 10-26 与 SGLang 的协同披露。图片裸请求与带站内 Referer 双 200，PNG 1200x628 / 133,992 字节。