Cloudflare AI 推論服務出包，155 筆回應混入其他客戶資料
Cloudflare 的 AI 推論服務發生跨客戶資料外洩。根據 Cloudflare 10 月 26 日發布的事件報告，8 月 27 日到 9 月 9 日期間，旗下 Workers AI 平台上的 GLM-5.3 模型共有 155 筆回應，混入了其他客戶稍早送出的請求內容。
受影響的都是超過 681,280 個 token 的超長提示。Cloudflare 表示，排除自家測試與通報者的請求後，剩下的請求在時間與數量上都符合一般長文使用，沒有發現有人蓄意利用這個漏洞。
資安研究員通報，宣告事件後約 40 分鐘下架
GLM-5.3 是中國 AI 公司智譜（Z.ai）開發、主打程式代理工作的模型，Cloudflare 透過 Workers AI 提供給開發者呼叫。資安公司 Knostic 的研究員 Gadi Evron 在 9 月 8 日透過漏洞獎勵平台 HackerOne 通報，超長提示有時會拿到屬於別人工作階段的文字。
廣告 - 內文未完請往下捲動
依報告的時間軸，Cloudflare 在 9 月 9 日 13:22（UTC）宣告資安事件，資安團隊 25 分鐘內用兩個獨立帳號重現外洩，14:00 把模型設為不公開。修正設定並更新推論引擎後，模型在同日 19:40 恢復上線。Cloudflare 說，Workers AI 上其他模型都沒有受到影響。
設定錯誤遇上開源引擎 SGLang 的漏洞
報告指出，外洩是兩個問題疊在一起造成的。第一是設定錯誤：GLM-5.3 對外開放約 105 萬 token 的上下文長度，但負責讀取提示的 GPU 只配置了 681,280 個 token 的 KV 快取空間。KV 快取是模型處理提示時存下的中間運算結果。
Cloudflare 上線前就知道兩者不一致，但以為推論引擎遇到放不下的提示會回傳錯誤。上線前的長文測試都回傳成功，團隊因此沒有當成問題。
第二是開源推論引擎 SGLang 的漏洞。Cloudflare 把「讀取提示」與「產生回答」分給兩組 GPU 處理，提示太長時，SGLang 會把請求標記為拒絕、換成只有一個 token 的佔位內容，卻沒有中止請求。負責產生回答的 GPU 以為快取已經寫好，直接讀取記憶體頁面，但多數頁面還留著前幾筆請求的內容，回答就混進了其他使用者的提示與生成內容。
為了效能，這類記憶體頁面在請求之間不會清空，下一筆請求會直接覆寫。用戶端收到的是正常的 HTTP 200 回應，內容也通順，從外部很難察覺異常。
Cloudflare 承認只測狀態碼，沒驗證輸出
Cloudflare 在報告中承認，上線前只驗證了長文情境下的 HTTP 狀態碼與效能，沒有檢查模型輸出的內容是否正確，這是測試上的關鍵缺口。現在每次部署前，都會直接從執行中的引擎比對 KV 快取空間與上下文長度。
Cloudflare 也指出，另一名使用者 7 月 6 日就在 SGLang 的 GitHub 回報過同一個漏洞，修正已陸續納入 SGLang v0.5.20 到 v0.5.22。Cloudflare 建議所有以同樣分離架構執行 SGLang 的業者升級到 v0.5.22 以上，並把每個節點的 KV 快取空間與上下文長度逐一比對。
這份報告是 Cloudflare、通報者與 SGLang 維護團隊 RadixArk 協調後同步公開。Cloudflare 表示，已把引擎修正與其他強化措施套用到所有以 SGLang 提供的模型。
風險提示
加密貨幣投資具有高度風險，其價格可能波動劇烈，您可能損失全部本金。請謹慎評估風險。
