対象：ホスト型AIのAPI（Workers AIに限らず）へ業務データを送っているチームと、自前でLLMの推論サーバーを運用している人。本記事はCloudflareの公式発表にもとづく解説で、不具合を起こす方法は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月31日時点まだ分かっていないこと
- 影響を受けた顧客の数
- 155件の応答に出たデータの種類
- 個別の顧客への通知の有無と方法
Cloudflareは、この発表をオープンソースの推論エンジンの開発チームと合わせた調整済みの公表として出しています。追加の対策（ページ単位の整合性確認、転送方式の形式検証）は進行中としています。当サイトは10月31日に同社の発表を再確認し、その後の追加の発表は見つかっていません。
ホスト型AIを使うチームが今日確認すること
自分が対象期間に使ったかを確かめる
同社によれば、影響を受けたのはGLM 5.3だけ、期間は2026年8月27日から9月9日まで、対象は681,280トークンを超えるプロンプトだけです。自社のログや請求から、その期間のこのモデルの呼び出しとプロンプトの長さを確認してください。当サイトの見方では、これほど長いプロンプトは珍しいので、該当なしのチームも多いでしょう。
提供元からの通知を探し、自分でも記録を残す
同社の発表には、顧客がやることも、個別の顧客への連絡方法も書かれていません。アカウントの連絡先メールとダッシュボードの通知を確認し、対象かもしれない場合は担当窓口に問い合わせてください。いつ何をモデルへ送ったかの記録は、影響を判断するのに必要になります。
AIサービスごとに、入れているデータを棚卸しする
サービスごとに、社員やアプリが送っているデータの種類（顧客情報、ソースコード、認証情報、契約書など）を書き出します。漏れて困るデータが含まれるなら、プロンプトから外す、伏せ字にする、自社専用に分離された環境を使う、のいずれかにします。APIキーなどの秘密はプロンプトに貼らないでください（AIツール経由でキーが漏れる理由）。
モデルの返答が自分のものとは限らないと考える
今回報告された症状は、他人の文章が応答に混じることでした。ホスト型モデルが、自分のプロンプトと無関係に見える文章（他社の名前やコードなど）を返したら、その出力は使わず、証拠を保存し、提供元のセキュリティ窓口に報告してください。
自前の推論サーバーなら、エンジンの確認項目を実施する
同社は、同じエンジンを運用する人に、重みや量子化、並列設定、メモリ設定を変えたあとで、各ノードのキャッシュ領域を測ってモデルのコンテキスト長と比べること、エンジンのバージョン0.5.22以降へ上げること、モデルが対応していれば破損検出の設定を有効にすること、ロードバランサーを最初のトークンの前に中断しない設定にすることを勧めています。正確な設定は発表本文を読んでください。
何が起きたのか（Cloudflareの発表より）
以下は2026年10月26日のCloudflareの発表にもとづきます。時刻は発表どおりUTCです。
2026年8月27日
Workers AIでGLM 5.3の提供が始まった。同社によれば、キャッシュ領域はモデルのコンテキスト長より小さく、同社は公開前からその不一致を把握していた。9月8日 23:11
同社のバグバウンティ経由で報告が届いた。9月9日 13:22
同社がセキュリティインシデントを宣言した。発表によれば、製品セキュリティのチームが、25分以内に2つの独立したアカウントで事象を再現した。9月9日 14:00
モデルを非公開にした（要求にはエラーが返る状態）。9月9日 14:35〜19:04
原因を特定し、プレフィル側のノードを修正した設定へ切り替え、続いてエンジンの修正を入れた構成を作り直して検証した。9月9日 19:40
モデルを再び公開した。9月16日〜10月19日
オープンソースのエンジン側で修正が取り込まれ、10月19日にバージョン0.5.22が公開された。10月26日
同社が経緯を公表した。
- サービスとモデル
- Workers AI、GLM 5.3（第三者の開発元のテキスト生成モデル）
- 何が出たか
- 影響を受けた要求の直前に、同じモデルへ届いた他の顧客のリクエストのデータ
- 誰が見たか
- 長すぎるプロンプトに対して、影響のある応答を受け取った顧客
- 原因その1
- キャッシュ領域が681,280トークン分で、コンテキスト長は1,048,576トークン
- 原因その2
- オープンソースの推論エンジンの不具合：長すぎる要求が拒否されず受け付けられ、前の要求のデータが残るキャッシュ領域から応答が作られた
- 悪用
- 同社のテストと報告者のテストを除くと、通常の長文利用と頻度・量が一致し、意図的な悪用の証拠はなし
- 修正
- 設定を前のモデル版に合わせた（領域は現在約204万トークン）、受付の段階で該当要求を拒否するエンジンの修正、デプロイ変更前にコンテキスト長と領域の大きさを照合する確認
分かっていること・分かっていないこと
2026年10月31日時点の状態です。
| 項目 | Cloudflareの発表の内容 | 状態 |
|---|---|---|
| 期間 | 2026年8月27日〜9月9日 | 確定（同社） |
| 対象モデル | GLM 5.3のみ。他のWorkers AIモデルは対象外 | 確定（同社） |
| 影響を受けた応答 | 155件。すべて681,280トークン超のプロンプト | 確定（同社） |
| 顧客の数 | 「少数の顧客」 | 記載なし |
| 出たデータの内容 | 他の顧客の直前のリクエスト | 種類・機微の程度は記載なし |
| 意図的な悪用 | 証拠は見つかっていない | 同社の調査結果 |
| 個別の通知 | 発表には記載なし | 記載なし |
| 修正 | 9月9日に反映。上流の修正はその後に公開 | 確定（同社） |
同じキャッシュを共有すると、なぜ顧客の間で漏れうるのか
ホスト型の言語モデルは、同じ機材で多くの顧客のリクエストをさばき、処理中の文章の作業用の記憶（キャッシュ）を持って高速に答えます。一般に、この記憶が消されないまま再利用されたり、書いた大きさと違う大きさで読まれたりすると、ある顧客の文章が別の顧客の出力に現れることがあります。これはこの種の問題の一般的な説明で、今回の件についての追加の事実ではありません。
Cloudflare自身の説明で目につく点が2つあります。キャッシュの大きさとコンテキスト長の不一致は公開前から把握されていたこと、公開前のテストは応答の意味が通るかではなく、ステータスコードとストリーミングを見ていたことです。同社は現在、デプロイを変えるたびに、動いているエンジンから領域の大きさとコンテキスト長を照合するとしています。利用者側の教訓は、「リクエストが成功した」ことは「応答が自分のものだ」という保証にならない、ということです。
AIサービスを運用するチームへ：この発表から言える確認を1つ
1つのモデルを複数の顧客やチームに提供しているなら、長すぎる入力や境界の大きさの入力を送り、成功した応答ではなくエラーが返ることを確かめるテストを足してください。また、重み・量子化・メモリ設定を変えたあとは、公称のコンテキスト長に対してキャッシュが足りているかを確かめてください。どちらも、同社が挙げた原因から直接言えることです。
キャッシュ領域681,280トークン、コンテキスト長1,048,576トークン
↓→
キャッシュは公称のコンテキスト長以上の大きさか
長すぎる要求が拒否されず受け付けられた
↓→
長すぎる入力のテストでエラーが返るか
テストはステータスコードを見て、出力の中身は見ていなかった
↓→
出力がその要求のものかをテストで確かめているか
出典（公開情報）
- Cloudflare ブログ：Workers AIのモデルで起きたリクエスト間のKVキャッシュ露出と対処についての発表（2026年10月26日、英語）— blog.cloudflare.com
更新履歴
2026-10-31：初版。2026年10月26日のCloudflareの発表にもとづく。同社またはエンジンの開発チームから追加の発表があれば更新します。
次に読む
- AIと攻撃：AIエージェントが自律的にシステムへ侵入した事例
- 鍵・秘密情報の守り方：AIツール経由でAPIキーが漏れる理由
- 2026年のほかの事件：2026年の情報漏洩・サイバー攻撃