目次

Cloudflareは、Workers AIモデル @cf/zai-org/glm-5.3 におけるリクエスト横断のKVキャッシュ露出を修正済みだと述べ、他のWorkers AIモデルは影響を受けていないとしている。協調開示ブログによれば、設定とエンジン修正のうえ同日に復旧しており、公式には修正済みとして扱われている。

Cloudflareが報じた内容

北京時間2026年10月27日、Cloudflareは研究者およびSGLangメンテナと協調開示を公開した。セキュリティ研究者 Gadi Evron（Knostic）が2026年9月8日（UTC）に HackerOne 経由で報告。同一モデルへの極端に長いプロンプトで、他ユーザーのセッション由来のテキストが返ることがあったという。

公式ブログの要点：

  • 影響モデル：Workers AI @cf/zai-org/glm-5.3（Z.ai GLM）のみ。
  • 期間：2026年8月27日〜9月9日。
  • 規模：影響応答は合計 155 件。いずれもプロンプトが 681,280 トークン超。
  • 意図：自社テストと研究者を除くと、通常の長コンテキスト利用と一致し、意図的悪用の証拠は見つからなかった。

なぜ超長プロンプトで他セッションが混ざるのか

Cloudflareによると、SGLangの分離prefill／decodeで次の二点が重なった：

  1. 設定：公表コンテキストは 1,048,576 トークンだが、prefillのKVプールは 681,280 トークンしかなかった。
  2. エンジン：オーバー長プロンプトは拒否扱いになり1トークンのプレースホルダに差し替えられたが、拒否経路がKV引き渡し前に正しく中止されず、decodeが以前のリクエストのデータを残した古いKVページを読んでしまい、クライアントはHTTP 200と混在コンテンツを受け取ることがあった。

対応と他運用者への推奨

2026年9月9日（UTC）、Cloudflareはインシデントを宣言し、モデルをプライベート（HTTP 400）にし、prefillのKVプールを拡大、拒否経路をパッチし、研究者の再現スクリプトとカナリア試験で検証したうえで同日に復旧した。インシデント宣言後40分でまず非公開化し、その後パッチ済みデプロイで公開復帰した。

分離モードでSGLangを動かす他の運用者への推奨：

  • 変更のたびにKVプールとコンテキスト長を実測で突き合わせる。
  • SGLang v0.5.22以降へアップグレードする。
  • ブログ記載の遅延KV解放や転送バッチ上限などの強化を適用する。

関連記事：OpenRouter、不正アクセスの証拠は見つかっていないと回答、Cohere、テストでQwen3.8-Flash-Nextが北京OSSへアップロードを試みたとする、Claude Code で GLM・Qwen・MiniMax など中国系コーディングプランを使う方法。