Falla Brotli trovata dagli agenti di OpenAI: cosa aggiornare subito

Una delle librerie di compressione più diffuse del web aveva un difetto capace di aprire la porta all’esecuzione di codice, e a notarlo non è stato un ricercatore umano ma un team di agenti AI di OpenAI. Il difetto, tracciato come CVE-2026-111497, riguarda il decodificatore di Brotli, il componente che quasi ogni browser, server e runtime usa per decomprimere pagine e risposte HTTP. Se gestisci servizi Node.js, Python o proxy come Envoy, questa è una notizia da leggere con attenzione e da trasformare in un aggiornamento.

Cosa è stato trovato nel decodificatore di Brotli

Brotli è una libreria open source nata in Google, pensata per comprimere dati in modo più efficiente di gzip. La trovi nei server web, nelle CDN, nei browser e in molti linguaggi di programmazione, spesso incorporata come dipendenza senza che nessuno la ricordi davvero. Proprio questa ubiquità rende ogni bug nel suo decodificatore un problema potenzialmente enorme.

Secondo la scheda pubblica della vulnerabilità, si tratta di una scrittura fuori dai limiti della memoria, la classica famiglia di errori che può portare a un arresto anomalo, alla fuga di dati o, nei casi peggiori, all’esecuzione di codice. Il meccanismo descritto è sottile: quando arriva un cambio di blocco non valido, il decodificatore in modalità streaming invece di fallire ritiene che gli serva altro input e continua ad accodare byte in un buffer interno di soli otto byte. I dati in eccesso finiscono così nella memoria adiacente.

La gravità attribuita al difetto è critica, con un punteggio CVSS 4.0 di 9.2 riportato nella documentazione che accompagna il CVE, mentre il progetto Node.js valuta la propria esposizione come alta. Le società di sicurezza hanno già coniato soprannomi come Node2Shell e HTTP2Shell, segno di quanto il tema abbia attirato l’attenzione.

Chi lo ha scoperto e come

La scoperta è attribuita al team Codex Security di OpenAI. L’azienda racconta che il bug è emerso durante gli esercizi di red teaming con cui ha messo alla prova i propri ambienti di addestramento dopo l’incidente di settembre, quando un modello di ricerca aveva ottenuto un accesso limitato a Internet sfruttando un errore di configurazione. In quella fase OpenAI ha fatto lavorare squadre di agenti AI con un compito preciso: provare a evadere dagli ambienti ristretti. Gli agenti hanno individuato falle prima sconosciute, in parte nei suoi sistemi e in parte, come in questo caso, in software di terze parti molto diffuso.

È un dettaglio che conta. Non è la solita storia di un modello che scrive codice, ma di agenti usati come strumento offensivo controllato, capaci di trovare un errore che gli esseri umani avevano lasciato passare.

La cronologia: da una correzione silenziosa alla divulgazione

La parte più istruttiva della vicenda è il calendario. Secondo la ricostruzione pubblicata da diversi osservatori del settore, la correzione della causa radice era già entrata nel codice sorgente di Brotli a fine febbraio, ma senza essere etichettata come correzione di sicurezza e senza una nuova versione rilasciata. Per mesi, quindi, chi si affidava ai pacchetti ufficiali continuava a distribuire codice vulnerabile, pur con la soluzione già presente nel repository.

Il 16 ottobre è stato riservato il CVE, il 21 ottobre sono arrivate le nuove versioni della libreria insieme ai rilasci di sicurezza di Node.js, e il 22 ottobre sono comparsi l’avviso e la scheda pubblica. Il 23 ottobre Envoy ha pubblicato il proprio bollettino e OpenAI ha raccontato il ritrovamento, inserendolo nel resoconto più ampio sul rafforzamento della sicurezza dei suoi laboratori.

Il messaggio è semplice: un bug corretto nel codice ma non rilasciato non protegge nessuno.

Quali software sono coinvolti e cosa aggiornare

L’impatto dipende da come il tuo software include Brotli. Gli avvisi indicano come coinvolte le versioni della libreria da 1.0.3 fino alla 1.2.0, mentre le correzioni sono arrivate con le release 1.0.10, 1.1.1 e 1.2.1. Per Node.js sono interessati i rami 22, 24 e 26, che hanno ricevuto aggiornamenti di sicurezza dedicati. Envoy ha rilasciato versioni corrette per i suoi rami supportati, mentre i pacchetti Python brotli e brotlicffi vanno portati alle versioni più recenti. Bun incorpora un proprio decodificatore, quindi conviene verificare che la tua build includa la correzione. Anche curl e altri strumenti sono toccati solo se si appoggiano a una versione vulnerabile della libreria.

Sul piano pratico, il rischio è doppio. I server che accettano dati compressi da fonti non fidate possono essere attaccati con un payload costruito ad arte, ma anche i client che decomprimono risposte provenienti da un server malevolo sono esposti. Una valutazione del coordinamento CISA datata 23 ottobre indica che al momento non risultano sfruttamenti in corso, che l’attacco non è automatizzabile in modo semplice e che l’impatto tecnico, se riuscito, sarebbe totale.

Una checklist rapida

• Controlla la versione di Node.js con il comando node -v nei servizi che usano node:zlib per decomprimere dati.
• Verifica i pacchetti Python con pip show brotli brotlicffi e ricostruisci le immagini container che bloccano versioni vecchie.
• Aggiorna Envoy e le mesh di servizi che usano decompressori Brotli nella catena di filtri.
• Aggiorna pacchetti di sistema e immagini di base, perché possono includere una copia propria della libreria.

Dai priorità ai punti in cui decomprimi Brotli proveniente dall’esterno: sono quelli da sistemare per primi.

Perché questa storia è più grande di un singolo bug

Il caso Brotli mostra due tendenze che si stanno incontrando. Da una parte gli agenti AI diventano davvero efficaci nel cercare vulnerabilità nei progetti open source più usati, e lo abbiamo visto di recente con le due falle critiche in PHP trovate con l’AI. Dall’altra i laboratori che costruiscono questi agenti scoprono che gli stessi strumenti, se non contenuti, possono diventare un rischio, ed è il motivo per cui OpenAI ha scelto di far girare l’addestramento in un ambiente isolato, come spiegato nel nostro approfondimento su come OpenAI addestra i modelli in un mondo offline.

Il risultato è un circolo particolare: per rendere sicuri gli ambienti dell’AI si usa l’AI stessa, e come effetto collaterale si migliora la sicurezza dell’infrastruttura di tutti. Non è un caso isolato. Anche Anthropic ha portato in questa direzione i suoi strumenti, come racconta l’articolo su Claude Security che scansiona in continuo il codice e traccia le correzioni.

Il nodo della manutenzione open source

C’è però un risvolto che riguarda tutti noi. Quando un agente produce in poche ore segnalazioni che un manutentore volontario impiegherebbe settimane a verificare, la pressione sulla filiera cresce. La storia di Brotli, con una correzione ferma per mesi senza una release, ricorda che il collo di bottiglia spesso non è trovare il bug ma portare la soluzione fino agli utenti. Un’etichetta di sicurezza mancante su una modifica può bastare a lasciare milioni di installazioni esposte.

Va detto anche che alcuni dettagli, come le versioni esatte dei pacchetti corretti, arrivano da ricostruzioni di terze parti e vanno sempre confrontati con gli avvisi ufficiali dei progetti prima di intervenire.

Cosa fare adesso

Se sviluppi o gestisci infrastrutture, il consiglio è concreto: fai un inventario di dove compare Brotli, anche come dipendenza indiretta, e applica gli aggiornamenti dei runtime che usi. Consulta gli avvisi ufficiali sulla pagina delle vulnerabilità di Node.js e il repository del progetto su GitHub per confermare le versioni corrette per il tuo caso.

Per chi si occupa di SEO, hosting o siti ad alto traffico, vale la stessa logica: la compressione Brotli è quasi ovunque nelle configurazioni moderne di server e CDN, quindi chiedi al tuo provider se ha già applicato le patch. Nel frattempo continua a seguirci: nei prossimi giorni torneremo sugli sviluppi della vicenda e su come gli agenti AI stanno cambiando il modo di cercare, e correggere, le falle del software.