OpenAI случайно обнаружила уязвимость, которая может скомпрометировать миллионы серверов, хотя даже не искали её. Они пытались предотвратить доступ своих моделей ИИ к интернету во время обучения и создали для них полностью оффлайн-среду. Во время тестирования этой системы на уязвимости они наткнулись на уязвимость в Brotli — одной из самых широко используемых библиотек сжатия в интернете. Эта уязвимость позволяет злоумышленнику запускать собственный код на любой затронутой системе, отправляя вредоносные сжатые данные. Не требуется вход в систему или наличие пользовательского аккаунта — просто отправьте данные, и вы получите доступ. Brotli встроен в Node.js, Bun, Envoy и практически во всё, что обрабатывает сжатый веб-трафик. Уязвимость была технически исправлена в феврале, но в то время никто не осознавал, что это проблема безопасности. Таким образом, патч существовал месяцами, но почти никто его не применил, потому что он выглядел как обычное обновление. Иногда самые пугающие открытия происходят, когда вы даже не ищете их.