CloudflareのWorkers AIでGLM-5.3混入、155件公表
20秒でわかる内容解説
CloudflareはWorkers AIで提供していたGLM-5.3で、他顧客のKVキャッシュ（推論で再利用する中間データ）が混入した応答が155件あったと公表した。原因は推論基盤SGLangの設定不整合とバグで、長文プロンプトが対象だった。複数顧客が同じ推論基盤を使う共有推論では、テナント分離と検証設計の課題を示す事例になる。
681,280トークン超のプロンプトで155件
Cloudflareは2026年9月8日にセキュリティ研究者のGadi EvronからHackerOneで報告を受け、翌9日08:00に検証を始めた。13:22にセキュリティインシデントを宣言し、Product Securityは25分以内に2つの独立したアカウントで漏えいを再現した。14:00にGLM-5.3を非公開化し、ステータスページを更新した。
14:35にprefill（プロンプト処理）側KVキャッシュプールがコンテキスト長より小さい原因を特定し、14:52に全prefillノードへ修正構成を適用した。19:04には修正済み構成とCloudflare作成のエンジンパッチで全体を再構築し、研究者の再現スクリプトで検証した。19:40に公開を再開した。
影響は8月27日から9月9日までで、全件が681,280トークン超のプロンプトに対する応答だった。Workers AIの他のモデルは影響しなかった。9月10日にSGLang保守チームと会合し、Cloudflareは調査結果として、と報告した。
We found no evidence of deliberate exploitation.
意図的な悪用の証拠は見つかっていない。
prefillとdecodeの分離構成で拒否要求が通過
Z.aiのGLM-5.3を、CloudflareはWorkers AIでSGLangの分離構成で提供していた。prefill GPUがプロンプトからKVキャッシュを作る。Mooncake（KV転送用の仕組み）とRDMA（他ノードメモリへの直接書き込み）でdecode（応答生成）GPUへ渡す。
KVキャッシュはGPUメモリ上の固定ページ共有プールで、要求後にゼロ化せず上書きするため、ページ所有権の追跡は推論エンジンが担う。
問題の構成では、モデルのコンテキスト長1,048,576トークンに対し、prefill GPUのKVプールは681,280トークン分しかなかった。Cloudflareは公開前に不一致を把握していたが、エラーを返すと想定していた。しかし長文テストではHTTP成功（正常な応答コード）とストリーミング本文が確認できたため、問題視しなかった。出力内容と整合性は確認していなかった。
SGLang v0.5.21で修正される前の挙動では、プールを超える要求を拒否した後も、分離モードの受け付けキューが拒否状態を正しく判定できなかった。プレースホルダ1トークンのKV転送完了を受け取ったdecode側は、予約した全ページが上書きされたと誤認した。
以前の要求が残るページへアテンション（生成時に参照する仕組み）して応答を生成した。このバグは2026年7月6日に別ユーザーから#30233として報告されており、Cloudflareは調査中に気づいた。
率直な原因分析と事前検証不足への批判
Hacker Newsでは、Cloudflareの原因分析が率直で、モデル停止と復旧が迅速だったことを評価するコメントがあった。一方で、公開前にKVプールとコンテキスト長の不一致を把握しながら、HTTP成功と性能テストだけで本番投入した点を批判する声が目立った。想定したエラーが返らなかったのに調査しなかったのは異常だ、という反応も出た。
GLM-5.3自体より共有推論とSGLang/Cloudflare側の分離設計の問題だ、という指摘もあった。タイトルはGLM-5.3より共有LLM推論のKVキャッシュ混入とすべきだ、という意見や、CloudBleedを連想させるというコメントもあった。共有テナント環境では秘密情報が漏れた可能性を心配する声、単一テナント推論を求める声、他のプロバイダーでも未公表の問題が起きている可能性を懸念する声も見られた。
SGLangがRust製でも未初期化メモリ由来の問題に直面した、という指摘や、サーバーレス推論で同種の問題が未開示のまま残っている可能性への驚きも出ていた。あるコメントは、ブラウザテストサービスのVMで他ユーザーのクリップボードが漏れた事例を挙げ、共有基盤の危険性を振り返った。
SGLang v0.5.22以降と構造的検証の行方
Cloudflareは復旧後、KVプールサイズをコンテキスト長と直接比較する検査を分離展開の毎回に追加した。deferred release（ページ解放を遅らせる仕組み）を両ロールで有効化し、Mooncake転送バッチに上限を設けた。負荷分散器ではクライアント切断時に転送途中で中止しない設定にした。
SGLang側では#36988がv0.5.20で公開された。#38935はv0.5.21で公開され、チェックサム確認（転送データの整合性検査）はv0.5.21で導入された。v0.5.22には中止通知やdeferred release関連の追補が入った。Cloudflareは分離構成で運用するオペレーターへv0.5.22以降への更新を強く推奨している。
今後の予定として、CloudflareはKVページにタグを付け、decodeが読む前に所有権を確認する仕組みをSGLangと製品化する。MooncakeベースのRDMA転送プロトコルも形式検証（数学的に安全性を確かめる手法）する。
Cloudflareは影響顧客への通知の有無や漏えい内容の範囲、他の共有推論基盤での同種問題の発生について明らかにしていない。SGLang v0.5.22は2026年10月19日にリリース済みで、共同開示も実施済みである。
用語の注釈
- SGLang
- LMSYS Orgが開発する、LLMやマルチモーダルモデル向けのオープンソースの推論フレームワーク。（参考：SGLang v0.5.15: 高性能LLM推論フレームワークの最新版）
編集者からのコメント
原因分析と復旧は明快だが、不整合を把握しながら応答コードだけで本番投入した判断は甘すぎる。共有推論ではKV所有権の検証を全展開に組み込めるかが本質であり、他基盤の点検状況が試金石になる。