155条回答里，混进了别的客户的数据
Cloudflare 2026 年 10 月 26 日披露，Workers AI 上的 GLM-5.3 模型在 8 月 27 日到 9 月 9 日之间，155 条回答里混入了其他客户的提示与部分生成内容，起因是缓存池小于上下文窗口加上 SGLang 引擎 bug。
- 01THE LAUNCH：2026 年 8 月 27 日，GLM-5.3 上线，缓存池小于窗口。
- 02THE BUG：超长提示被拒绝后，引擎仍继续执行。
- 03THE FIX：2026 年 9 月 8 日，研究员报告，次日模型下线修复。
WHAT HAPPENED发生了什么
故障的起点在 2026 年 8 月 27 日。GLM-5.3 上线时上下文窗口标为 1048576 个 token，但预填充 KV 缓存池只有 681280 个 token 的容量。任何超过缓存池的超长提示都会走上故障路径，哪怕它在标称的上下文窗口之内。
第二个故障来自推理引擎 SGLang。超长提示被标记为拒绝，并替换成一个 token 的占位符，但分拆式推理的准入队列没有按拒绝处理，而是继续执行。解码节点为完整提示预留了缓存页，只拿到一页真实数据，其余页面仍留着此前请求的旧数据。
结果是 155 条回答里混进了其他客户的提示与部分生成内容，全部返回 HTTP 200，看起来像正常回答。受影响的提示全部超过 681280 个 token，普通长度的提示不在影响范围内。
TWO FAULTS, ONE LEAK两个故障单独出现，都不会出事
缓存池小于上下文窗口，单独看只会让超长提示报错。引擎的拒绝处理 bug 单独看，也只会在超长请求时暴露。两个故障叠加，报错路径变成了正常返回，旧数据顺着缓存页流进了新回答。
Cloudflare 承认上线前已知容量不匹配，但内部测试返回的 HTTP 200 掩盖了问题。测试只看了状态码，没有检查返回内容是不是属于本次请求。
THE CACHE AS ISOLATION共享推理基础设施，隔离边界在缓存层
大模型推理服务把多个客户的请求放在同一批 GPU 上，缓存页的复用是性能设计。页不清空，隔离就完全依赖引擎的所有权追踪。追踪一旦出错，隔离就跟着失效。
这件事的教训不只属于 Cloudflare。任何使用分拆式预填充与解码的自托管 SGLang 部署，都要检查自己的缓存池大小与引擎版本，Cloudflare 建议升级到 v0.5.22 或更高。
THE DISCLOSURE CLOCK披露的时间线，比故障本身更值得看
研究员 Gadi Evron 9 月 8 日通过 HackerOne 报告，Cloudflare 9 月 9 日复现并在 40 分钟内下线模型，当天 19:40 恢复。完整报告直到 10 月 26 日才公开，与 SGLang 的修复版本协调发布。
公开报告没有回答两个关键问题，受影响客户到底有多少，是否逐一通知。用户如果在 8 月 27 日到 9 月 9 日之间用过这个模型，报告本身无法告诉他有没有被波及。
SIGNAL JUDGMENT缓存页不清空，隔离就只剩一层纸
Tokenta Signal 的判断不变：共享推理的隔离边界不在合同里，在缓存页的所有权追踪里。追踪错一次，客户数据就会顺着旧页面流进别人的回答。
WHAT REMAINS UNCERTAIN还有什么不确定
EVIDENCE证据
原文确认 Cloudflare 2026 年 10 月 26 日披露，GLM-5.3 在 Workers AI 上 155 条回答混入其他客户数据，窗口为 8 月 27 日到 9 月 9 日，全部提示超过 681280 个 token。
PRIMARY SOURCES原始来源
- AskGPU：Cloudflare says a Workers AI bug sent other users' prompts in 155 responses
https://askgpu.com/updates/cloudflare-workers-ai-glm-5-3-leaked-other-users-prompts/ - DigiSoulHub：Workers AI answers contained other customers' data
https://digisoulhub.com/blog/workers-ai-kv-cache-exposure/