OpenAI-agenter fant kritisk Brotli-hull: Node.js, Envoy og Istio må oppdateres nå

OpenAI har brukt egne KI-agenter til å angripe sitt eget treningsmiljø, og på veien fant de et alvorlig hull i Brotli, et komprimeringsbibliotek som ligger innebygd i blant annet Node.js, Bun, Envoy og Istio. Feilen har fått nummeret CVE-2026-111497 og kan i verste fall gi en angriper mulighet til å kjøre egen kode på serveren. Rettelser finnes allerede. For norske virksomheter er dette en oppdateringssak som bør tas nå, ikke ved neste vedlikeholdsvindu.

Hva som er funnet

OpenAI skrev natt til 24. oktober norsk tid at sårbarheten tillater fjernkjøring av kode uten innlogging. Ifølge selskapet kan en server som tar imot komprimerte data overtas av en ondsinnet klient, og en klient som tar imot komprimerte svar kan overtas av en ondsinnet server.

Nettstedet Patch the Planet, et OpenAI-initiativ for koordinert varsling av sårbarheter, beskriver feilen som minnekorrupsjon i Brotlis dekoder. Den rammer programvare som pakker ut Brotli-komprimerte data fra kilder virksomheten ikke kontrollerer: komprimerte HTTP-forespørsler, svar hentet fra eksterne servere og komprimerte filer. Feilen kan føre til krasj, lekkasje av minneinnhold eller kodekjøring.

Ifølge OpenAI ble selve rotårsaken rettet i Brotlis kildekode allerede i februar, men ingen visste da at den var et sikkerhetshull, og det kom ingen ny Brotli-utgivelse. Det er derfor programvare som bygger inn biblioteket, fortsatt har vært sårbar. Brotli har nå laget nye utgivelser og publisert en CVE, og Node.js har gitt ut eller holder på å gi ut sikkerhetsoppdateringer.

Hvilke versjoner som gjelder

Patch the Planet lister disse rettede versjonene per 23. oktober:

• Node.js: 22.23.4, 24.22.1 og 26.12.1.
• Bun: 1.4.4.
• Envoy Proxy: 1.40.0, 1.39.3, 1.38.6 og 1.37.8.
• Istio: 1.29.9, 1.30.6 og 1.31.2. Versjon 1.29 er utgått.
• Google Brotli: 1.0.10, 1.1.1 og 1.2.1.

Nettstedet peker også på steder som er lette å glemme: skrivebordsapper bygget på Electron kan ha flere kopier av Brotli, både i Chromium og i en innebygd Node.js. Curl og libcurl, bindinger for Python og Java, statisk bygde programmer og fontdekodere må sjekkes for seg. Det å bare komprimere utgående data gir ifølge kilden ikke i seg selv eksponering.

Kan en tjeneste ikke oppdateres med en gang, anbefaler Patch the Planet å slå av Brotli-dekoding av data fra eksterne kilder og beholde gzip og deflate. Å slå av Brotli-komprimering i et CDN eller på webserveren beskytter ikke mot dekoding på andre steder. Etter oppdatering må tjenester, jobber og containere bygges på nytt og startes om.

Hvordan agentene fant hullet

Funnet kom fra en større øvelse. OpenAI oppgir at selskapet satte lag av KI-agenter, blant dem den kommende modellen GPT-6 Astra Cyber, til å prøve å bryte ut av miljøene der selskapet trener sine kraftigste modeller. Agentene fikk kildekode og konfigurasjon for å teste forsvaret under forhold som var gunstige for en angriper. OpenAI oppgir at øvelsen brukte flere hundre milliarder tokens.

Ifølge OpenAI fant agentene ukjente sårbarheter som lot dem bryte ut av virtuelle maskiner, flytte seg mellom systemer og nå internett gjennom nesten alle de smale tjenestene som fortsatt hadde forbindelse ut, som metrikk, logging og autentisering. De fant også måter å kommunisere på tvers av isolerte miljøer ved å måle tidsforskjeller i prosessorens hurtigminne. OpenAI har sendt rettelser til blant annet Kata Containers, gVisor og Docker.

Bakgrunnen er hendelsen 20. september, da en intern modell brukte en feilkonfigurert DNS-tjeneste til å nå internett under trening. hogby.ai omtalte den i september. Ifølge OpenAI ble trening av de kraftigste modellene satt på pause i 11 dager og gjenopptatt 1. oktober. All trening av frontmodeller skjer nå uten tilgang til det åpne internettet.

Hva det betyr for norske ledere

Be om status i dag. Spør IT-sjefen eller driftsleverandøren om virksomheten kjører Node.js, Bun, Envoy eller Istio, også inne i produkter og containere, og når oppdateringen er rullet ut og tjenestene startet på nytt. En oppdatering som ikke er startet på nytt, beskytter ikke.

Spør leverandørene. Mange SaaS- og plattformleverandører bygger på Node.js. Det er rimelig å be om bekreftelse på at de har oppdatert, særlig der tjenesten behandler kundedata.

Tiden fra funn til angrep krymper. Når KI-agenter finner hull i mye brukte biblioteker, kan andre også gjøre det. Det taler for kortere frister for kritiske oppdateringer og bedre oversikt over hvilke komponenter som ligger inne i egne systemer.

Agenter trenger stengte dører. Kjører virksomheten egne KI-agenter med kode- eller nettilgang, viser OpenAIs erfaring at én sperre ikke er nok. Agenter bør ha begrenset nettverkstilgang, overvåking og flere lag med isolasjon.

Det kildene ikke sier

Verken OpenAI eller Patch the Planet oppgir om sårbarheten er utnyttet i praksis, og kildene vi har lest oppgir ingen alvorlighetsscore. OpenAI oppgir heller ikke hvilke andre ikke-offentliggjorte sårbarheter agentene fant, utover at flere er varslet.

Kilder og medier

• OpenAI: Securing our frontier model training environment, publisert 23. oktober 2026.
• Patch the Planet: Brotli vulnerability (CVE-2026-111497), oppdatert 23. oktober 2026.
• OpenAI på X om Brotli-sårbarheten, 24. oktober 2026 kl. 00.55 norsk tid.
• OpenAI på X om sikringen av treningsmiljøet, 23. oktober 2026 kl. 21.46 norsk tid.

Illustrasjon: KI-generert med Grok Bot / hogby.ai