OpenAIがAIエージェントを使ったレッドチーム化の取り組みでは、Node.js、Bun、Envoyなどのソフトウェアに含まれるBrotli圧縮ライブラリに認証されていないリモートコード実行の脆弱性を発見しました。この脆弱性により、攻撃者は悪意のある圧縮データを送って影響を受けたシステム上でコードを実行でき、圧縮入力を受け入れるサーバーと圧縮を有効にしたCurlのようなクライアントの両方に影響を及ぼします。
根本原因は2月にBrotliのソースコードで解決されましたが、当初はセキュリティ問題とは認識されておらず、Brotliおよび下流プロジェクトに開示されました。Node.jsや他の企業はセキュリティアップデートをリリースまたは準備中で、Brotliは新バージョンとCVEをリリースしているとOpenAIの発表によれば。