Cloudflare 披露 Workers AI GLM-5.3 跨请求 KV 缓存串读（8/27–9/9）；155 条超长上下文回复受影响；SGLang v0.5.22+ 修复

这件事意味着什么

【要点】

Cloudflare 于 UTC 2026-10-26 22:01（北京时间 10 月 27 日 06:01）发布《Cross-request KV cache exposure in the GLM-5.3 Workers AI model, and our remediation with SGLang》，与 LMSYS/SGLang《SGLang security update: improving request isolation》同日协调披露。官方自述：

1）范围：仅 `@cf/zai-org/glm-5.3`；暴露窗口 2026-08-27（上线）至 09-09；确认 Workers AI 其他模型未受影响。

2）现象：超长提示（官方称 >681,280 tokens）可能返回其他租户同模型近期会话内容；共 155 条回复受影响；排除自身测试与研究员后，时序/体量符合普通长上下文使用，未见蓄意利用证据。

3）根因两层：预填 GPU 的 KV 池仅约 681,280 tokens，小于宣称 1,048,576 上下文；SGLang 在 PD 分离模式下对超池请求走「占位拒绝」却仍向 decode 交接，decode 在未覆写页上注意力，读到旧租户 KV。

4）处置：09-08 HackerOne 报告 → 09-09 复现并在约 40 分钟内下线模型 → 放大 KV 池并打引擎补丁后当日恢复；上游 #36988/#38935 等进入 SGLang v0.5.20–v0.5.22；建议运营商升至 v0.5.22+、度量池 vs 上下文、deferred release、可选 KV checksum。

【可核验】

Cloudflare 主文 https://blog.cloudflare.com/kv-cache-exposure-remediation/

SGLang/LMSYS 协调文 https://www.lmsys.org/blog/2026-10-26-cf-security

上游 PR 例：https://github.com/sgl-project/sglang/pull/36988 、https://github.com/sgl-project/sglang/pull/38935

研究员：Gadi Evron / Knostic（经 Cloudflare HackerOne）

【我们的判断】

一、背景：这是「托管多租户推理」的隔离事故，不是模型权重投毒或 prompt injection 故事。CF 把配置失配（池 < 上下文）与引擎拒绝路径在 PD+RDMA 下的语义漏洞叠在一起写清楚，并把时间线、受影响条数、仅长上下文触发写进可核查事实。对照本站已有 e/1053 OpenAI 训练环境遏制、e/967 Cloudflare Clairic：一侧是训练/产品沙箱叙事，本条把火力对准推理引擎内存所有权。

二、横向：vLLM、DeepInfer、llm-d 等同样走 KV 页复用与（可选）PD 分离；任何「池大小由剩余显存推导、上下文长度另配」的栈都可能复现同类配置债。SGLang 把 admission 提前拒绝与 deferred release 做成默认，是对整类「页已释放但仍有跨节点写/读」的行业补丁，而不只是 Cloudflare 私有修复。Z.ai GLM-5.3 仅是触发面；问题在 serving，不在 GLM 权重本身。

三、影响：企业若把长上下文（≥约 680k tokens）打到多租户托管端点，需把「跨租户 KV 串读」写进供应商问卷与 SLA；自建 PD 集群应按 CF/SGLang 清单核对池/上下文、abort 与 Mooncake 批大小。对产品读者：模型已于 9/9 恢复，披露滞后约七周，属协调披露节奏，不是新的线上未修漏洞。

四、边界：155 条、无蓄意利用、仅 GLM-5.3 均为厂商调查结论；研究员独立报告「即将发布」。勿外推为「所有 Workers AI 模型曾串读」，也勿把单次配置失配写成通用「云 AI 不可信」而不区分单节点 vs PD 分离路径。