Cloudflare 承认 GLM-5.3 跨请求泄漏 KV cache

Cloudflare 公布一起 Workers AI 的租户隔离事故：托管 GLM-5.3 时上下文窗口配成 1,048,576 token，而 prefill GPU 的 KV cache 池按加载权重后剩余显存自动算出，只有 681,280 token，两个配置值没有任何机制强制相等。超过池容量的请求被调度器标记为拒绝、提示替换成一 token 占位，但在 prefill/decode 分离部署下，两端准入队列只检查请求是否 finished，被拒请求仍报告为存活，于是 decode 节点照预留页数生成，读到 P1–P7 页里上一个请求留下的内容。

影响可量化：8 月 27 日上线即存在，9 月 8 日 23:11 由 Knostic 研究员 Gadi Evron 经 HackerOne 报告，9 月 9 日 13:22 宣布事故、19:40 恢复。期间共 155 条回复混入他人会话内容，全部来自超过 681,280 token 的提示，官方称未发现刻意利用迹象，也没有其它托管模型受影响。

修法分两层：配置层把池扩到约 204 万 token（约为上下文两倍），使有效请求永不走到拒绝路径；引擎层让被拒请求在准入队列就带着原错误退出，上游 PR #38704 与 #38935 已合入，SGLang v0.5.20 起修复、v0.5.22 收尾，官方建议所有依赖方升级到 v0.5.22 以上。这次事故不属于某个模型，而属于「池容量与上下文长度是两个独立配置、且池大小不是配置项而是启动时算出来的」这一整类部署方式——Cloudflare 已改成上线前从运行中的引擎直接比对两个数，而不是只看 HTTP 状态码。

原文链接：Cloudflare 官方博客