A OpenAI acidentalmente encontrou uma vulnerabilidade que poderia comprometer milhões de servidores e eles nem estavam procurando por ela. Eles estavam tentando impedir que seus modelos de IA acessassem a internet durante o treinamento, criando um mundo totalmente offline para eles. Enquanto realizavam red-teaming nesse ambiente, depararam-se com uma vulnerabilidade no Brotli, uma das bibliotecas de compressão mais amplamente utilizadas na internet. A falha permite que um atacante execute seu próprio código em qualquer sistema afetado enviando dados comprimidos maliciosos. Nenhum login é necessário, nenhuma conta de usuário é exigida. Basta enviar os dados e você já está dentro. O Brotli está integrado ao Node.js, Bun, Envoy e basicamente qualquer coisa que lide com tráfego web comprimido. A falha foi tecnicamente corrigida em fevereiro, mas ninguém sabia na época que se tratava de uma questão de segurança. Assim, por meses, o patch existiu, mas quase ninguém o aplicou, pois parecia apenas uma atualização rotineira. Às vezes, as descobertas mais assustadoras acontecem quando você nem está procurando.