OpenAI a accidentellement découvert une faille pouvant compromettre des millions de serveurs, alors qu’ils ne cherchaient même pas à en trouver. Ils essayaient de empêcher leurs modèles d’IA d’accéder à Internet pendant l’entraînement, en créant un monde entièrement hors ligne pour eux. Pendant un test de red-team de cette configuration, ils ont découvert une vulnérabilité dans Brotli, l’une des bibliothèques de compression les plus utilisées sur Internet. Cette faille permet à un attaquant d’exécuter son propre code sur tout système affecté en envoyant des données compressées malveillantes. Aucune connexion requise, aucun compte utilisateur nécessaire. Il suffit d’envoyer les données et vous avez accès. Brotli est intégré à Node.js, Bun, Envoy, et pratiquement tout ce qui gère le trafic web compressé. La faille a été techniquement corrigée en février, mais personne ne savait à l’époque qu’il s’agissait d’un problème de sécurité. Pendant des mois, le correctif existait, mais presque personne ne l’a appliqué, car il semblait être une mise à jour routinière. Parfois, les découvertes les plus effrayantes surviennent quand on ne cherche même pas.