Cloudflare 披露 Workers AI GLM-5.3 有 155 条响应包含其他客户数据

Cloudflare 10 月 26 日的报告披露了一起 9 月已控制的生产环境数据泄露。8 月 27 日至 9 月 9 日，Workers AI 模型 @cf/zai-org/glm-5.3 的 155 条响应包含其他客户近期提交给同一模型的请求信息，接收这些响应的提示词均超过 681,280 token。这是响应数，不是人数、组织数或账户数。Cloudflare 表示其他 Workers AI 托管模型未受影响，排除自身及研究人员的测试后，未发现蓄意利用证据。

该部署提供 1,048,576 token 的上下文窗口，但预填充 KV 池仅容纳 681,280 token。分离部署中，prefill 处理提示词，再将模型缓存状态传给独立的 decode GPU。超出容量的请求被替换成一个 token 的占位请求，却没有停止。decode 将交接视为完成，使用仍残留此前请求数据的缓存页生成输出。这个门槛描述的是接收响应的请求长度，不能据此认定潜在数据来源客户提交的短请求安全。

Cloudflare 扩大容量并修复拒绝请求的处理路径后，于 9 月 9 日恢复模型。此前公开状态公告只说明服务出错；10 月 26 日才是数据泄露的协调披露日期。更早的 SGLang 公开缺陷报告和披露前的补丁，不能证明这起托管服务事件的客户影响当时已经公开。

自托管用户应采用 SGLang 0.5.22 或更新版本，并验证配置，不能仅凭模型名称或 HTTP 成功状态判断安全。针对本次事件的请求拒绝修复分别随 0.5.20 和 0.5.21 发布；相关修复还涉及 RDMA 传输中断、缓存页过早重用及生命周期，各有不同触发前提。维护者说明，该跨引擎中断传输竞态要求请求在传输中终止，并在写入仍在途时重用槽位；没有该传输路径的单实例部署不受此特定竞态影响。在维护者的复现中，被取消请求的上下文流入另一客户的输出，而不是流回取消请求的客户端，后者也不能选择受害者。这与本次事件中被拒绝请求读取旧缓存的机制不同。维护者披露还列出面向 NIXL/MORI 的失败发送修复 #45973，计划随 0.5.23 发布。该修复在 0.5.22 之后合并，复核确认 GitHub 最新正式版本仍是 0.5.22，因此使用这些后端还需采用包含额外补丁的经审查构建或回移补丁。#39729 校验和清理及其他加固同样仍待发布或开发；使用 0.5.22 不代表所有拟议防护均已上线。

L3： 主流托管 AI 服务发生了已确认的租户隔离失效，上游用户也有明确的处置措施。已知范围有限，服务在披露前已经修复；不能据此认定仍在窃取数据、整个平台失陷，或该模型所有部署都存在缺陷。所引报告未量化客户数、具体泄露数据及各客户的通知情况。这些披露没有分配 CVE 或 GHSA 编号。