Cloudflare 修复 GLM-5.3 Workers AI 模型跨请求 KV 缓存泄露漏洞
速览
Cloudflare 披露了其 Workers AI 平台上 GLM-5.3 模型的一个租户隔离漏洞，该漏洞导致少数用户收到了包含其他用户请求数据的响应。问题源于 SGLang 推理引擎的配置错误和引擎缺陷，影响时间为 8 月 27 日至 9 月 9 日，共 155 次响应受影响。Cloudflare 已修复问题并恢复服务，确认无其他模型受影响，且未发现故意利用证据。
这个漏洞由安全研究员 Gadi Evron 于 9 月 8 日通过 HackerOne 项目报告，Cloudflare 次日复现问题，并在 40 分钟内下线模型，同日部署修复后恢复服务。问题仅影响提示词长度超过 681,280 tokens 的请求，这些请求在预填充 GPU 的 KV 缓存池容量不足时触发了引擎缺陷。
根因是两个问题的叠加：一是 Cloudflare 在配置 GLM 5.3 时设定了 1,048,576-token 的上下文窗口，但预填充 GPU 的 KV 缓存池只能容纳 681,280 tokens，两者不匹配。二是 SGLang 引擎在处理超长请求时存在缺陷——被拒绝的请求在预填充阶段生成占位符的 KV 缓存并传输至解码节点，解码节点误以为缓存已完整覆盖，导致旧缓存数据残留并被用于生成响应。
Cloudflare 采取了双重修复措施：
- 调整配置，使预填充 KV 池容量提升至约 204 万 tokens，确保合法请求不再触发拒绝路径
- 修补引擎，让带待决拒绝的请求在分配队列阶段即被终止，同时上游 SGLang 维护者合并了相关修复（#36988、#38935）
Cloudflare 表示，排除自身测试和研究者复现外，识别的请求在时间和数量上与普通长上下文使用一致，不构成刻意利用。此外，KV 缓存页在请求间未清零是行业通用做法，本次事件凸显了推理引擎在缓存所有权追踪上的安全责任。
原文Cross-request KV cache exposure in the GLM-5.3 Workers AI model (155 responses)blog.cloudflare.com
#安全漏洞#GLM#AI模型
本文由程序自动抓取公开报道，经 AI 筛选与改写生成，未经人工逐条核实，事实以原文为准。