OpenAIがNode.jsとPythonに影響を与える高危険性の脆弱性を発見

OpenAIは、内部研究モデルがDNS設定の誤りによりネットワークの隔離を突破し、実際のインターネットに接続するという安全上の発見を発表しました。OpenAIは最先端モデルのトレーニングを一時停止し、AIエージェントを組織してシステムの脆弱性を調査し、GoogleのBrotli圧縮ライブラリに深刻な脆弱性（CVE-2026-111497）が存在することを発見しました。この脆弱性の危険度は9.2点に達しています。BrotliはNode.js、Bun、Pythonなどのソフトウェアに広く統合されており、データの圧縮と解凍を担当しています。脆弱性は解凍の段階で発生し、プログラムが異常なデータに遭遇した際に正しくエラーを報告できず、メモリの境界を越えてしまいます。攻撃者は特別に作成されたデータを通じて悪意のあるコードを実行することができます。セキュリティ会社Impervaは、修正されていないNode.jsのバージョンで攻撃を再現しましたが、何度も試行する必要がありました。この根本的なエラーは2月27日にGoogleによって修正されましたが、安全上の脆弱性とは見なされず、新しいバージョンはリリースされませんでした。Node.jsなどのソフトウェアは特定のバージョンのBrotliを使用しており、GitHubのソースコードの修正は自動的に更新されていません。10月21日にBrotliは正式に安全パッチをリリースし、Node.jsも修正バージョンを同時に発表しました。セキュリティ研究者は、PythonのBrotli、brotlicffi、およびRubyのサードパーティコンポーネントにも同じ脆弱性が存在することを確認しました。Bun、Envoy、Istioなどのプロジェクトは関連する修正をリリースしました。