Cloudflare раскрывает утечку KV-кэша между запросами у GLM-5.3 в Workers AI
Cloudflare
Cloudflare сообщила, что GLM-5.3 в Workers AI (@cf/zai-org/glm-5.3) возвращала данные KV-кэша из более ранних сессий других клиентов в 155 ответах в период с 27 августа по 9 сентября 2026 года. Несоответствие конфигурации дало prefill-графикам пул KV на 681 280 токенов при заявленном контексте в 1 048 576 токенов, а баг SGLang в режиме разделённых prefill/decode позволял заменять запросы сверх лимита однтокенным плейсхолдером, пока узел декодирования читал устаревшие KV-страницы. Cloudflare увеличила пул примерно до 2,04 млн токенов, исправления SGLang вошли в v0.5.20–v0.5.22; всем операторам рекомендуется v0.5.22 или новее.
Почему это важно
Разделённый prefill/decode при обслуживании может раскрывать контекст других арендаторов, когда размер пула и длина контекста не совпадают.
Важность: 4/5
Раскрытие контекста между арендаторами в продакшен-обслуживании с исправлением, которое теперь обязан применить каждый оператор SGLang.