云端模型把别人会话串过来了？先停这把华为云 IAM 访问密钥再对账

研发群里有人甩了一截模型回复：明明问的是自家仓库的报错，回文中间却夹着另一家公司的代码片段，甚至像 .env 里的那一串。财务不在乎会话「串味」，他们在乎的是——如果那串里曾经出现过华为云永久 Access Key，这把钥会不会已经在别人看得见的响应里走过一遭？

2026 年 10 月 26 日，Cloudflare 官方博客披露：Workers AI 上的 GLM-5.3 模型曾出现跨请求 KV 缓存串租户问题。官方确认只有这一款模型受影响，共 155 条响应异常，而且全部发生在提示词长于 681,280 tokens 的请求上。这款模型面向 agentic coding（偏智能体编程），超长上下文里经常夹着源码、配置和云密钥片段。若团队曾把华为云永久 Access Key（AK/SK）写进发给共享推理或编码助手的超长提示，就应按「可能已进入他人可见响应」处理：先停用相关 IAM 访问密钥，再缩权、清异常资源、到费用中心对账，并禁止再把 AK 贴进 prompt。下面按官方已确认数字与华为云文档，说明谁会受损、三条边界，以及控制台止血清单。示例一律打码。

一、外证怎么读：超长提示里的「会话串味」

Cloudflare GLM-5.3 跨请求 KV 缓存暴露

Cloudflare 于 2026 年 10 月 26 日发布《Cross-request KV cache exposure in the GLM-5.3 Workers AI model, and our remediation with SGLang》。官方已确认的内容包括：

• 受影响模型：Workers AI 上的 @cf/zai-org/glm-5.3（仅此模型；其他 Workers AI 模型未受影响）
• 暴露窗口：自 2026 年 8 月 27 日该模型上线起，至 2026 年 9 月 9 日下线修复；同日完成配置与引擎补丁后恢复服务
• 影响规模：共 155 条响应受影响；均发生在提示词长于 681,280 tokens 的请求
• 现象：超长提示时，响应中可能出现其他租户不久前请求里的数据（跨请求 KV cache 串租户）
• 根因摘要：prefill 侧 KV 池大约只能容纳 681,280 tokens，小于模型上下文窗口 1,048,576 tokens；在 prefill/decode 分离（disaggregated）模式下，SGLang 对超长请求的拒绝路径没有正确中止，decode 节点读到了仍保留旧请求数据的缓存页
• 官方表示：排除自测与研究者请求后，时间与量级符合普通长上下文使用，未发现故意利用的证据；由研究者 Gadi Evron（Knostic）经 HackerOne 报告，并与 SGLang 上游协调披露

原文：https:​//blog.cloudflare.com/kv-cache-exposure-remediation/

本文只引用上述已确认内容与处置方向。

映射到华为云：为什么会落到「账号买单」

先把话说清楚：Cloudflare 这篇报告谈的是共享推理服务上的会话隔离，不是「有人偷了你的华为云控制台密码」。落到华为云侧，真正要问的是——你有没有把永久 Access Key 写进过发给共享编码助手或共享推理服务的超长上下文？

华为云官方文档写得很直白（摘要转述，以文档为准）：账号是资源归属与计费主体；密码与访问密钥（AK/SK）对账号效力同等——密码登录控制台，访问密钥用于 API、CLI、SDK。Access Key 不能登录控制台，但在权限范围内可以创建、变更、删除资源，按需费用照样记在账号账单上。官方建议：不要给账号（根）创建访问密钥；日常用单独 IAM 用户；不要把访问密钥嵌入代码或公开资料；编程侧优先临时安全凭证或委托。疑似泄露时，应先停用密钥、缩权，再核对费用中心是否出现异常账单。

所以，若永久 AK/SK 曾出现在超长 prompt、对话日志，或被助手「读进上下文」的 .env、配置片段里：一旦推理侧出现跨请求缓存串味，片段就可能进入其他租户看得见的响应。对方若拿到完整 AK/SK，就能用编程方式调华为云 API（在该 IAM 用户权限范围内）开按需资源。钱记在你的账号上，不记在那家模型服务商的工单号里。

虚构打码示例（勿当真钥，仅供对照自家「最近使用时间」）：

IAM 用户：iam-agent-coding-xxxx
Access Key ID：HPUAxxxxxxxx3R9Q
状态：启用
出现位置：发给共享编码助手的超长上下文 / 本地 .env 片段被粘贴进 prompt
权限画像：曾挂过宽计算、存储系统策略（应立即缩权）
最近使用时间：对照 2026-08-27 至 09-09 窗口及之后异常开资源窗口（以本账号真实记录为准）

二、谁受损：同一把钥匙，三种账

损失形态不同，分开看。

财务、出纳这边，直接损失是按需账单陡升、可用额度被抽干，严重时触发欠费停服；连带是对账周期被打乱。若密钥曾出现在共享推理的超长上下文里，财务侧至少应把外证窗口（2026-08-27 至 09-09）标成重点回看区间，并继续盯停钥之后几日是否还有异常抬升，不要等通知邮件齐了再动。

安全、合规这边，凭证失控面从「一台开发机」扩到「凡写进超长 prompt 的密钥与配置」。审计若拿不出「密钥最近使用时间」与轮转记录，事后更难交代。同一把钥若还进了 CI、本地 .env 或另一家助手的会话历史，事件面会更宽。

业务与工程这边，欠费、资源争抢或紧急停钥都可能打到核心服务。「我只是调试时把 AK 贴进了助手对话框」对抗不了账单上的 API 轨迹。agentic coding 追求的上下文长度，在隔离出问题时会变成事故扩散面。

止血顺序要固定：先停用密钥，再缩权、清异常资源，再核对账单与告警，最后才复盘。同时把「禁止把永久 AK 贴进 prompt」写进研发规范。

三、三条边界：IAM、访问密钥、账单

IAM 边界：人、组、策略，不是「一个管理员密码」

对照华为云 IAM 安全使用最佳实践与访问凭证最佳实践，企业侧应固定记住这些点：不要给账号创建访问密钥（密码与 AK/SK 对账号效力同等）；为人创建单独 IAM 用户，日常少用根身份；授予最小权限，系统策略过宽时用自定义策略收到「刚好够用」；控制台用户与编程用户分开，只登录控制台的不要顺手再发一把 AK；高权限用户开启虚拟 MFA，对删除资源、生成访问密钥等开启敏感操作（操作保护）；不要把访问密钥嵌入代码或公开资料——把永久 AK 贴进共享编码助手的超长 prompt，与硬编码、公开仓泄露是同一类事故。

访问密钥边界：永久 AK/SK 和临时安全凭证不是一回事

硬约束以「管理 IAM 用户的访问密钥」为准：每个 IAM 用户最多 2 个永久访问密钥，有效期为永久（除非停用或删除）；「最近使用时间」在 15 分钟内多次使用只记第一次，可判断旧钥是否仍在被调用，但不是「精确到每一次」；SK 仅创建时可下载，关掉弹窗后只能删了重建。更稳妥的路径是临时安全凭证（临时 AK/SK 加 security_token），或在 ECS 等场景用委托自动取临时凭证——永久密钥应视为「不得已」。

与本次外证对照：串味发生在超长提示（大于约 681,280 tokens）路径上；agentic coding 场景恰恰容易把整仓代码、.env、云密钥片段塞进上下文。对华为云侧，只要永久 AK 曾进过这类共享会话，就按「可能已暴露」轮转，不要等「确认被人用过了」才动手。华为云「访问密钥泄露处理方案」也写明：疑似泄露应尽快停用或轮转，并检查费用中心是否存在异常费用。

账单边界：费用中心看花了什么，成本中心看偏没偏

费用中心、账单这边：看账单概览、消费走势、流水与明细；异常窗口盯按天走势与 Top 产品类型。未出账数据有延迟，明细不宜直接当最终对账依据。对账起点建议覆盖外证窗口 2026-08-27 至 09-09，并向后延伸到停钥之日。

成本中心的异常成本监控只标「潜在异常」，不会自动关资源，也不对资损负责；系统监控器常见 T+2 时延，自建监控器常见 T+1。预算可按天、月、季、年设实际或预测阈值，超阈值短信或邮件提醒——适合早发现，不能替代密钥停用。检测有节奏，周期内常常是「首次触达才通知」，告警到达时费用往往已经上去。

四、控制台逐步核对（费用到密钥到资源再到告警）

以下假设你具备账号或 IAM 管理员权限；生产环境请先开变更窗。先停可疑密钥，再清异常资源。

步骤 A｜费用侧：偏了多少、偏在哪类产品

1. 打开「费用中心」-「账单」-「账单概览」，把时间调到 2026-08-27 前后（至少覆盖至停钥之日），看是否单日陡升。
2. 进流水或明细账单，按产品类型、按需、区域过滤，记下 Top 资源 ID。
3. （可选）打开「成本中心」-「成本洞察」-「异常成本监控」；没有记录不代表没有资损（注意 T+1、T+2 时延）。

可自填核对（代入本账号真实导出）：

• 08/27 前 7 日日均：____ 元
• 异常窗口内峰值日：____ 元
• 比值：____ 倍
• Top 产品类型：____

步骤 B｜身份侧：陡升对齐到哪把密钥、哪个用户

1. 打开 IAM「用户」，排查命名含「agent」「coding」「ci」「tmp」「legacy」「dev」的用户、近期新建用户，以及「给共享助手、本地脚本用过」的编程用户。
2. 进入对应用户「安全设置」-「访问密钥」，记录状态、创建时间、最近使用时间。
3. 若最近使用时间落在 2026-08-27～09-09 窗口或其后异常开资源窗口内，视为优先嫌疑对象。
4. 检查账号（根）是否仍持有访问密钥——若有，按官方建议停用并删除，编程访问迁到最小权限 IAM 用户。
5. 有 CTS 的，按时间窗检索凭证创建、ECS 开机等事件，交叉验证调用方（事件名以控制台为准）。

步骤 C｜权限侧：这把密钥本来能做什么

1. 查看该 IAM 用户所属用户组及附加策略。
2. 若存在「Tenant Administrator」、过宽的 FullAccess，或「所有资源」范围，泄露影响面接近账号级。
3. 编程用用户尽量用自定义策略收到「刚好能完成工作」；控制台管理员与机机账号分离。

步骤 D｜资源侧：停钥之后再清异常开出来的东西

1. 先停用嫌疑 Access Key（删除不可恢复；通常先停用，确认业务无影响，再删除）。
2. 每用户最多 2 把钥，可走「一主一备」：新建并切流，观察旧钥最近使用时间不再更新后停用、删除。
3. 按步骤 A 的资源 ID，在对应区域释放异常 ECS、EVS、EIP；必要快照仅用于取证。
4. 检查委托（agency）、新创建的 IAM 用户或用户组；凡曾写入超长 prompt、助手会话、本地 .env 的同源凭证（含备用钥、CI 副本），按「整组已暴露」轮转。

步骤 E｜提示词与会话侧：别只盯控制台

1. 列出过去一年内，所有曾把华为云 AK/SK、数据库密码、签名密钥粘贴进共享编码助手、共享推理服务，或可被团队互相可见的超长上下文的项目。
2. 在云厂商侧先撤销、停用旧凭证，再在业务侧写入新值；只改本地字符串、不先撤云侧旧钥，等于旧钥仍可用。
3. 以后禁止把永久云密钥贴进 prompt；需要助手读配置时，先脱敏，或改用临时安全凭证、委托。不要把「上下文越长越好」当成可以把密钥塞进去的理由。

五、缓解清单

已发生或高度疑似暴露（小时级）

• 停用嫌疑 Access Key；必要时同时缩权（细则以官方最佳实践与变更单为准）。
• 账号根 AK 若存在：业务切到 IAM 用户最小权限钥后，停用并删除根 AK。
• 释放异常按需资源；确认费用中心当日走势回落；高权限用户开启虚拟 MFA 与敏感操作保护。
• 通知财务自 2026-08-27 起回看可用额度与欠费风险（至少覆盖至停钥日）。
• 若密钥曾出现在共享助手超长上下文：按「所有同源凭证」轮转，不要只换一个项目里的一把。

48 小时内（防止复发）

• 清点全部 IAM 用户访问密钥：无「最近使用」、仅控制台登录的用户，删除多余 AK。
• 编程负载优先改为临时安全凭证或委托；必须用永久钥时：最小权限加定期轮转（双钥一主一备）。
• 代码仓、CI、共享盘、助手会话导出里检索永久凭证痕迹；凡出现过的一律视为已暴露并轮转。
• 成本中心配置预算告警（例如月预算 80% 实际或预测阈值）；开通并保留 CTS 对 IAM 关键操作的审计查询能力。
• 研发规范补一条：永久 AK/SK 不得进入任何发给共享模型的 prompt。

制度与架构（按迭代落地）

• 编码助手、共享推理接入门禁：上线前检查「云密钥不得以明文进超长上下文」；能用临时凭证或本地脱敏就不用永久 AK。
• 用户组按职能拆分（只读、运维、费用、安全）；自定义策略优先于过宽系统策略，授权范围优先指定区域、企业项目。
• 密钥轮转写入变更日历（例如每 90 天），轮转记录与「最近使用时间」截图一并归档；择机做一次「停用密钥，业务切流，账单回看」桌面推演。

六、常见误区

1. 「又不是华为云自己的模型出问题，跟我们账号无关」
   不对。外证说的是共享推理侧的会话隔离；若你的永久 AK 曾进过这类超长上下文，账单主体仍是华为云账号。推理厂商换了，计费归属不变。

2. 「官方说没有故意利用，可以再等等」
   官方写的是「未发现故意利用的证据」，不是「密钥一定没被人看见」。对华为云侧，永久钥只要曾进共享会话，就按可能已暴露处理。

3. 「开了 IAM 最小权限就等于密钥安全」
   不对。最小权限只降低爆炸半径；永久 AK 仍可能在权限范围内持续开资源。临时凭证与委托解决的是凭证生命周期。

4. 「异常成本监控或预算告警会替你刹车」
   不对。异常成本监控不对资源做操作，且有 T+1、T+2 时延；预算告警常常是「周期内首次触达才通知」，到达时费用往往已上去。告警是财务雷达，停用密钥才是刹车。

5. 「删了密钥就万事大吉」
   不完整。还需清异常资源、查新用户或新委托、按同源凭证轮转、补 MFA 与操作保护，并改掉「把 AK 贴进 prompt」的习惯。日常管理用已授权 IAM 用户，不要给账号创建访问密钥。

七、参考（华为云文档域 + 公开外证出处）

华为云官方文档（support.huaweicloud.com）

1. IAM 的安全使用最佳实践：https://support.huaweicloud.com/bestpractice-iam/iam_0426.html
2. 使用访问凭证访问华为云 API 最佳实践：https://support.huaweicloud.com/bestpractice-iam/iam_0516.html
3. 访问密钥泄露处理方案：https://support.huaweicloud.com/bestpractice-iam/iam_0512.html
4. 管理 IAM 用户的访问密钥：https://support.huaweicloud.com/usermanual-iam/iam_02_0003.html
5. 临时安全凭证概述：https://support.huaweicloud.com/usermanual-iam5/iam_01_1236.html
6. 异常成本规则（成本中心）：https://support.huaweicloud.com/usermanual-cost/costcenter_000013_05.html
7. 创建预测预算并接收告警：https://support.huaweicloud.com/qs-cost/billing_qs_0000003_01.html
8. 流水和明细账单（费用中心）：https://support.huaweicloud.com/usermanual-billing/bills-topic_new_1000102.html

公开外证出处

• Cloudflare：Cross-request KV cache exposure in the GLM-5.3 Workers AI model, and our remediation with SGLang（2026-10-26）
  https:​//blog.cloudflare.com/kv-cache-exposure-remediation/

（控制台路径以登录后实际菜单为准；文档版本随官网更新。）

本文为华为云控制台可复现的企业治理说明。示例账号与密钥均为虚构打码；Cloudflare 数字仅作公开外证。完成停钥与账单回看后，建议把「外证窗口日均对比峰值」「密钥最近使用时间对比资源创建时间」「曾写入超长 prompt 的项目清单对比轮转完成数」写进内部故障报告。

如果还要把合同、简历或配置文档发给外部大模型处理，可以先在本地用青椒智能脱敏处理敏感字段再上传：https:​//qingjiaolab.com