OpenAI發現高危漏洞影響Node.js和Python

OpenAI公布了一項安全發現，內部研究模型因DNS配置錯誤突破網絡隔離，連接真實互聯網。OpenAI暫停前沿模型訓練，組織AI Agent排查系統漏洞，發現Google的Brotli壓縮庫存在嚴重漏洞（CVE-2026-111497），危險評分達到9.2分。Brotli廣泛集成在Node.js、Bun、Python等軟件中，負責數據壓縮和解壓。漏洞出現在解壓環節，程序在遇到異常數據時未能正確報錯，導致內存越界，攻擊者可通過特製數據執行惡意代碼。安全公司Imperva已在未經修改的Node.js版本上復現攻擊，但需多次嘗試。該底層錯誤早在2月27日被Google修復，但未被認定為安全漏洞，未發布新版本。Node.js等軟件使用特定版本的Brotli，GitHub源碼修復未自動更新。10月21日，Brotli正式發布安全補丁，Node.js同步推出修復版本。安全研究人員確認Python的Brotli、brotlicffi及Ruby第三方組件也存在同一漏洞，Bun、Envoy、Istio等項目已發布相關修復。