OpenAI近日公开了其红队演练中的一项安全发现：广泛使用的Brotli压缩库存在一个未认证远程代码执行漏洞。相关细节已对外披露，为依赖该组件的软件生态敲响警钟。

从攻击路径看，问题出在对压缩数据的处理环节。攻击者只需向目标发送或回复经过构造的恶意压缩数据，便可在受影响系统上执行代码，整个过程无需创建用户账号，绕过了常见的身份认证门槛。

受影响范围覆盖多个内嵌Brotli的软件项目，包括Node.js、Bun与Envoy。这意味着漏洞并非局限于单一应用，而是沿着依赖链扩散至服务器与网络基础设施层面。

更值得关注的是实际暴露面。未打补丁、且接受压缩输入的服务器——例如接受curl --compressed请求的客户端——存在被恶意对端接管的风险。对运维与安全团队而言，尽快排查Brotli版本并完成修补，是当前最直接的应对动作。