Nach Angaben von Cloudflare kann ein Speicherlesevorgang innerhalb eines gemeinsam genutzten Worker-Prozesses zu mandantenübergreifendem Datenabfluss führen. Voraussetzung für den Angriff ist, dass Angreifer- und Opfer-Worker in getrennten V8-Isolates, aber im selben Worker-Prozess ko-lokalisiert sind. Der Angreifer kontrolliert dabei gültigen Code im eigenen Isolate; native Codeausführung gehört nicht zum Bedrohungsmodell. Zudem setzt der Angriff weder einen Software-Exploit in V8 noch einen Ausbruch aus der Sandbox voraus.

Cloudflare Workers begrenzt lokale Zeitquellen, indem Timer während der CPU-Ausführung eingefroren oder gröber aufgelöst werden. Außerdem stehen Worker-Skripten weder gemeinsamer Speicher noch Multithreading zur Verfügung. Die Forscher fanden jedoch heraus, dass WebSocket-Kommunikation als entfernte Zeitquelle dienen kann. Zusätzlich konnten Durable Objects ein einzelnes Worker-Isolate über Zeiträume von fünf bis mehr als 20 Stunden am Leben halten.

DyPrIs verschiebt verdächtige Skripte nach Abschluss einer Ausführung in einen separaten Prozess. Genau hier sahen die Forscher eine Schwäche: Eine langlebige Ausführung eines Durable Object konnte weiterlaufen, bevor diese Isolation griff. Hinzu kam ein zweiter Effekt: WebSocket-lastige Ein-/Ausgabe erhöhte die Aktivität des Instruction Translation Lookaside Buffer (iTLB) und drückte dadurch das von DyPrIs verwendete normalisierte Signal für Fehlvorhersagen bei Verzweigungen unter die Erkennungsschwelle.

Cloudflare bezeichnete das Problem als Einschränkung seiner DyPrIs-Implementierung. In der wissenschaftlichen Arbeit heißt es dagegen, die beiden Schwächen spiegelten grundlegende Grenzen des Erkennungsansatzes wider und nicht bloß Implementierungsfehler. Eine robuste Erkennung müsse während der Ausführung stattfinden und ein Signal nutzen, das nicht durch Ein-/Ausgabeaktivität unterdrückt werden könne, so die Forscher.

Die Produktionstests liefen laut der Arbeit auf Linux-Servern mit AMD-EPYC-Prozessoren der Generationen Zen 2 und Zen 3. Die Forscher führten ihre Messungen absichtlich nachts durch, als die CPU-Auslastung zwischen 10 und 25 Prozent lag, um die bestmöglichen Resultate zu beobachten. Unter diesen Bedingungen erreichten sie eine Ausleserate von bis zu 12 Bit pro Sekunde bei 99,16 Prozent Genauigkeit. Bei höherer Systemlast sank die Leckrate, langsamere Angriffe blieben nach Angaben der Forscher aber weiterhin machbar.

Die neue Veröffentlichung folgt fast fünf Jahre nach einer früheren gemeinsamen Forschungsarbeit von Cloudflare und der TU Graz. Darin hatten die Beteiligten einen Remote-Spectre-Angriff auf Workers mit 120 Bit pro Stunde vorgestellt und DyPrIs als Abwehrmaßnahme eingeführt. Das damalige Papier nannte eine Falsch-Positiv-Rate von 0,61 Prozent und kam zu dem Schluss, DyPrIs biete gegen die damals untersuchten Spectre-Angriffe statistisch dieselben Sicherheitsgarantien wie eine strikte Prozessisolation.

Cloudflare veröffentlichte im September 2025 zusätzliche Maßnahmen zur Härtung von Workers. In der Beschreibung von September 2025 heißt es, dass eine zufällige MPK-Zuweisung allein rund 92 Prozent mandantenübergreifender Zugriffe abfangen würde, weil zwei Isolates denselben Schlüssel erhalten können. Um diese Lücke im abgedeckten Bedrohungsmodell innerhalb der Sandbox zu schließen, setzt Cloudflare nach eigenen Angaben ein strengeres rotierendes Layout ein.