Cloudflare、Workers AIのGLM-5.3で155件のKVキャッシュ露出を公表

Cloudflareは2026年10月26日、Workers AIのGLM-5.3(@cf/zai-org/glm-5.3)で起きたクロスリクエストKVキャッシュ露出の調査結果を公表しました。8月27日から9月9日までに155件のレスポンスが、同じモデルへ直前に送られた別顧客のリクエスト由来のデータを含んでいました。

GLMはZ.aiが開発するAIモデルのファミリーで、SGLangはLMSYSのもとで公開されている推論フレームワークです。CloudflareはSGLang側の投稿と合わせ、協調開示として今回の報告を出しています。

何が起きたか

Knosticのセキュリティ研究者Gadi Evron氏は9月8日、CloudflareのHackerOneプログラムを通じて問題を通報しました。内容は、@cf/zai-org/glm-5.3に非常に長いプロンプトを送ると、他ユーザーのセッションに属するテキストが返ることがある、というものです。Cloudflareは翌朝に再現を確認し、インシデント判定から40分以内にモデルをオフラインにしました。その後、修正済み設定とパッチ済み推論エンジンを導入し、9月9日のうちにサービスを復旧しています。

影響範囲と数値

項目	内容
発生期間	2026年8月27日〜9月9日
影響レスポンス数	155
影響を受けたプロンプト	681,280トークン超
設定したコンテキストウィンドウ	1,048,576トークン
prefill GPUのKVキャッシュプール	681,280トークン
停止までの時間	インシデント判定から40分以内

Cloudflareによると、Workers AI上の他のモデルには影響がありませんでした。研究者のテストとCloudflare自身のテストを除くと、該当リクエストのタイミングと量は通常の長文コンテキスト利用と整合しており、同社は意図的な悪用の証拠を見つけていません。

原因

原因は、SGLangの設定不備と、分離型prefill/decodeモードで超過長リクエストを処理する際のバグの2つが重なったことです。CloudflareはGLM-5.3を1,048,576トークンのコンテキストウィンドウで公開した一方、prefill用GPUのKVキャッシュプールには681,280トークン分の容量しかありませんでした。同社はこの不一致を公開前から把握していましたが、処理できないプロンプトにはエンジンがエラーを返すと想定していました。また、長文コンテキストのテストが成功応答を返していたため、問題があるとは考えていませんでした。

今後の対応

Cloudflareは本番環境のSGLangデプロイメントの堅牢化を進めています。あわせて、本件と類似バグへの対応についてSGLangの上流メンテナーと継続して取り組んでいます。GLM-5.3はエージェント型コーディング向けに構築されたモデルで、Workers AIで提供されています。