GLM-5.3 Workers AI 모델에서 요청 간 KV 캐시 노출, 응답 155건 영향

Cloudflare Workers AI의 GLM-5.3에서 다른 고객의 프롬프트와 생성 내용이 응답에 섞이는 문제가 발생함. 2026년 8월 27일부터 9월 9일까지 응답 155건이 영향을 받았으며, 다른 모델은 영향을 받지 않음 모델의 컨텍스트 한도는 1,048,576토큰이었지만 prefill KV 캐시는 681,280토큰만 수용했음. 이 용량 불일치와 SGLang의 요청 거부 처리 버그가 겹쳐 캐시 용량을 넘는 요청이 이전 요청의 캐시를 읽음 prefill/decode 분리 구성에서 거부된 요청이 1토큰짜리 대체 프롬프트로 처리된 뒤 정상 전송으로 인계됨. decode는 전체 프롬프트가 전달됐다고 간주해 덮어쓰지 않은 다른 사용자의 캐시 페이지까지 참조함 Cloudflare는 모델을 중단한 뒤 캐시 풀 확대와 엔진 패치를 적용하고 9월 9일 서비스를 복구함. 자체 테스트와 제보자의 요청을 제외한 이용 양상에서 의도적 악용의 증거는 찾지 못함 분리 구성 운영자에게 SGLang v0.5.22 이상으로 업그레이드하고, 실제 캐시 용량 검증과 지연 해제, 전송 크기 제한, 지원 모델의 캐시 손상 탐지를 적용할 것을 권고함 노출 범위와 발견 Z.ai의 GLM-5.3은 에이전트 코딩 워크플로용 텍스트 생성 모델로, Workers AI에서 @cf/zai-org/glm-5.3 식별자로 제공됨 Knostic의 보안 연구자 Gadi Evron이 2026년 9월 8일 HackerOne을 통해 매우 긴 프롬프트에 다른 사용자 세션의 텍스트가 반환되는 문제를 신고함 노출은 모델 출시일인 8월 27일부터 9월 9일까지 존재했으며, 영향을 받은 응답 155건은 모두 681,280토큰을 초과하는 프롬프트에 대한 응답이었음 같은 모델에 직전에 제출된 다른 고객 요청의 데이터가 소수 고객의 응답에 포함됨 Cloudflare와 제보자의 테스트를 제외하면 요청 시점과 양은 일반적인 긴 컨텍스트 사용에 부합했으며, 반복 악용이나 의도적 악용의 증거는 없었음 GLM-5.3만 영향을 받음. Workers AI의 다른 분리 구성은 prefill과 decode 양쪽 모두 KV 풀이 컨텍스트 길이보다 커서 해당 거부 경로에 진입하지 않았음 분리형 추론 구조와 KV 캐시 소유권 Cloudflare는 SGLang의 prefill/decode 분리 구성으로 GLM-5.3을 운영함 prefill GPU가 프롬프트를 처리하고 KV 캐시를 생성함 Mooncake를...