OpenAI hat eine aus der Ferne ausnutzbare Schwachstelle in Brotli entdeckt, Claude Code 2.1.310 öffnet Monitor für Bedrock, Copilot zählt Tools von Drittanbietern

Beim Testen der Abschottung seiner Trainingsumgebung hat OpenAI in Brotli, der in Node.js, Bun und Envoy enthaltenen Kompressionsbibliothek, eine Schwachstelle zur Codeausführung aus der Ferne ohne Authentifizierung entdeckt. Sie wird als CVE-2026-111497 geführt und ist inzwischen behoben: eine Entdeckung, die im Blogbeitrag vom Vortag unerwähnt blieb. Bei den Code-Agenten öffnet Claude Code 2.1.310 das Tool Monitor für Bedrock, Vertex und Foundry, die Nightly von Gemini CLI kann ihre Modelle in JSON auflisten und Qwen Code erscheint in v0.26.1. GitHub schließlich lässt die API für Copilot-Metriken auch Anfragen von Tools von Drittanbietern wie OpenCode, Claude Code und Codex zählen.

OpenAI hat in Brotli eine Schwachstelle zur Codeausführung aus der Ferne ohne Authentifizierung entdeckt, die in Node.js, Bun und Envoy behoben wurde

23. Oktober — Am Abend der Veröffentlichung seines Blogbeitrags zur Absicherung der Trainingsumgebung seiner Spitzenmodelle, über den hier gestern berichtet wurde, ergänzt OpenAI auf X eine darin fehlende Information. Während derselben simulierten Angriffskampagne (red teaming) entdeckte das Unternehmen eine Schwachstelle zur Codeausführung aus der Ferne ohne Authentifizierung in Brotli, einer in zahlreiche Programme integrierten Kompressionsbibliothek. Bösartige komprimierte Daten genügen, ohne dass ein Konto erstellt werden muss, und der Angriff funktioniert in beide Richtungen.

That is, an unpatched server that accepts compressed input could be taken over by a malicious client, and an unpatched client that accepts compressed input (such as “curl —compressed”) could be taken over by a malicious server.

🇩🇪 Anders gesagt könnte ein nicht gepatchter Server, der komprimierte Daten annimmt, von einem bösartigen Client übernommen werden, und ein nicht gepatchter Client, der komprimierte Daten annimmt (wie „curl —compressed“), könnte von einem bösartigen Server übernommen werden. — @OpenAI auf X

Die Grundursache war bereits im Februar im Quellcode von Brotli behoben worden, ohne dass jemand darin eine Schwachstelle erkannt hätte, und seitdem war keine Version erschienen. OpenAI informierte Brotli und nachgelagerte Projekte wie Node.js; Brotli veröffentlichte neue Versionen und die CVE-2026-111497. Laut der Seite, die Patch the Planet der Schwachstelle widmet, schreibt der Sicherheitshinweis von Node.js die Meldung dem Codex Security-Team von OpenAI zu. Envoy und Istio sind nur betroffen, wenn sie für die Dekomprimierung von Brotli konfiguriert sind; die Schwachstelle kann auch einen Prozess zum Absturz bringen oder Speicherinhalte offenlegen, und die Seite nennt keinen CVSS-Score.

Betroffene Software	Bereinigte Versionen
Node.js	22.23.4, 24.22.1 und 26.12.1
Bun	1.4.4 (mit Brotli 1.2.1)
Envoy Proxy	1.40.0, 1.39.3, 1.38.6 und 1.37.8
Istio	1.29.9 (Zweig am Ende seines Lebenszyklus), 1.30.6 und 1.31.2
Google Brotli (Upstream-Projekt)	1.0.10, 1.1.1 und 1.2.1

Falls ein sofortiges Update nicht möglich ist, empfiehlt die Seite, die Brotli-Dekodierung nicht vertrauenswürdiger Daten abzuschalten und gzip oder deflate beizubehalten: Anfragen mit Content-Encoding: br vor jeder Dekomprimierung ablehnen, die automatische Dekomprimierung der HTTP-Clients und die Brotli-Filter von Envoy und Istio deaktivieren. Die Brotli-Komprimierung von Antworten auf einem CDN abzuschalten, reicht nicht aus. Die CVE wurde hier bereits unter den Node.js-Schwachstellen erwähnt, auf die das Plugin von Cognition abzielt (22. Oktober), und anschließend in der Reaktion von Replit (23. Oktober), ohne dass OpenAI dabei als Entdecker genannt wurde.

🔗 Die Seite von Patch the Planet zur Brotli-Schwachstelle

Code-Agenten: Claude Code 2.1.310, Gemini CLI und Qwen Code 0.26.1

Drei Code-Agenten für die Kommandozeile veröffentlichen innerhalb von weniger als vierundzwanzig Stunden eine Version: Öffnung für Drittanbieter bei Claude Code, Kontrolle über den Agenten bei Gemini CLI, Daemon und geplante Aufgaben bei Qwen Code.

Claude Code 2.1.310 öffnet das Tool Monitor für Bedrock, Vertex und Foundry und behebt 14 Probleme

23. Oktober — Claude Code 2.1.310 erscheint um 21:20 Uhr UTC auf npm und anschließend um 23:39 Uhr UTC als GitHub-Release, mit 26 Einträgen, darunter 14 Fehlerbehebungen. Das Tool Monitor, das einen Befehl im Hintergrund startet und jede Ausgabezeile an Claude zurückgibt, damit es auf ein Log oder eine Dateiänderung reagieren kann, gab es bereits seit April: Es funktioniert nun auf Amazon Bedrock, Vertex und Microsoft Foundry, ebenso wie Plugin-Monitore (plugin monitors), und auch bei deaktivierter Telemetrie oder deaktiviertem nicht essenziellem Datenverkehr. Hinter bestimmten Gateways, die den Beta-Wert effort-2025-11-24 oder Systemnachrichten im laufenden Gespräch ablehnen, versucht Claude Code es jetzt erneut ohne diese, und die auf einen Fehler Prompt is too long folgende Kontextkomprimierung behält nicht mehr zu viel dicht gepackten Text (base64, SVG) bei. Unter Windows betrifft eine Fehlerbehebung die Sicherheit: Die Hooks PreToolUse und PermissionRequest ließen einen Tool-Aufruf passieren, wenn Git Bash fehlte und der Hook-Befehl ausschließlich aus Strings in Anführungszeichen bestand. Unter Linux benennt /sandbox die AppArmor-Einschränkung von Ubuntu, die den Start von bubblewrap verhindert, und erklärt, wie sie aufgehoben werden kann. Die Berechtigungen für Cloud-Sitzungen und Remote Control werden in die benutzerdefinierten Enterprise-Rollen aufgenommen, Claude Tag erhält drei Fehlerbehebungen, und die Agent SDKs für TypeScript 0.3.310 und Python 0.2.174 werden auf diese Version abgestimmt.

🔗 Die Versionshinweise zu Claude Code 2.1.310

Gemini CLI: Die Nightly vom 24. Oktober listet Modelle in JSON auf und berücksichtigt den Abbruch per Esc

24. Oktober — Die um 01:15 Uhr UTC veröffentlichte Nightly v0.67.0 vom 24. Oktober enthält fünf am Vortag zusammengeführte PRs. Ihre einzige Neuerung, gemini models (oder die Option --list-models), listet die für die aktuelle Konfiguration verfügbaren Modelle mit ihrer Kennung, ihrem Namen, ihrer Beschreibung und ihren Kontextlimits auf; mit -o json gibt sie ein per Skript nutzbares Array aus, ohne Authentifizierungslogs auf der Standardausgabe, sodass sie sich an jq anbinden lässt. Damit wird ein am 11. Juni eröffnetes Ticket aufgegriffen. Zwei Fehlerbehebungen betreffen die Kontrolle über den Agenten: Ein Abbruch per Esc direkt nach einer Gruppe von Tool-Aufrufen zeigte Request cancelled an, doch der Agent setzte seine Arbeit fort und startete neue Shell-Befehle (PR 29868); in einer IDE mit mehreren Root-Verzeichnissen oder einem geöffneten übergeordneten Ordner werden relative Pfade nun anhand des Workspace der aktiven Datei aufgelöst, während die CLI zuvor in ein benachbartes Repository schreiben konnte (PR 29838). Schließlich rechnet gemini hooks migrate --from-claude die Timeouts der Claude Code-Hooks von Sekunden in Millisekunden um: Ein auf 30 Sekunden eingestellter Hook wurde nach 30 Millisekunden abgebrochen. Die Stable-Version v0.65.0 und die Preview-Version v0.66.0-preview.0 bleiben unverändert.

🔗 Gemini CLI v0.67.0-nightly.20261024 auf GitHub

Qwen Code v0.26.1 speichert das Token des Daemons und macht geplante Aufgaben von einem Shell-Befehl abhängig

24. Oktober — Drei Tage nach v0.26.0 erscheint Qwen Code in der stabilen Version v0.26.1 mit 41 Funktionen, 63 Fehlerbehebungen und einer einzigen inkompatiblen Änderung, die auf den Kanal QQ Bot beschränkt ist. Auf Wunsch speichert qwen daemon start --save-token das Zugriffstoken des Daemons in einer Datei, die nur ihr Eigentümer lesen kann, und eine geplante Aufgabe kann von einem außerhalb des Modells ausgeführten Shell-Befehl abhängen, als Grundlage für Prüfroutinen zur Überwachung von Pull Requests und einen Befehl /autofix-pr. Der Managed Agent erhält die manuelle Kontextkomprimierung und die Verwaltung von MCP-Servern, ohne Sitzungen neu erstellen zu müssen; die offizielle Unterstützung für DeepSeek wechselt zu deepseek-flash.

🔗 Qwen Code v0.26.1 auf GitHub

Die API für Copilot-Nutzungsmetriken zählt Anfragen von OpenCode, Claude Code, Codex und anderen Tools von Drittanbietern

23. Oktober — Die API für Nutzungsmetriken von GitHub Copilot erfasst nun Modellanfragen, die Tools außerhalb des Editors wie OpenCode, Claude Code, Codex oder Zed über Copilot senden. Diese Tools senden häufig keine Editor-Telemetrie, sodass ihre Nutzung von totals_by_ide nicht erfasst wurde; die Zählung erfolgt nun serverseitig in einem neuen Array totals_by_client der Unternehmens-, Organisations- und Benutzerberichte für 1 Tag und 28 Tage.

Feld von `totals_by_client`	Was es misst
`client`	Das sendende Tool: opencode, claude_code, codex, zed, copilot_cli, vscode, jetbrains… (nicht erkannte Tools unter `other`)
`request_count`	Erfolgreiche Modellanfragen
`session_count`	Eindeutige Sitzungen
`token_usage`	Prompt- und Ausgabe-Tokens, mit dem Durchschnitt pro Anfrage
`totals_by_model`	Dieselben Messwerte nach Modell, mit dem Auswahlmodus: `user_selected`, `auto` oder `product_selected`

GitHub nennt selbst die Grenzen: Ein Prompt kann mehrere Modellaufrufe auslösen, daher lässt sich request_count nicht mit einer Anzahl von Prompts vergleichen; der Client wird so gut wie möglich (best-effort) anhand der vom Tool gesendeten Integrationskennung (integration ID) erkannt, ohne verifizierte Identität; Copilot code review und der Cloud-Agent melden ein vom Produkt gewähltes Modell. Diese Messung unterscheidet sich von der Erfassung von Agent-Anwendungen (agent apps), die von Claude oder Codex auf GitHub gestartete Aufgaben zählt. Sie richtet sich an Inhaber und Abrechnungsverantwortliche oder an jede Rolle mit der Berechtigung View Copilot Metrics und knüpft an die am 22. Oktober erfolgte Ergänzung der Namen von Skills, Agenten und MCP-Servern an. Nutzungszahlen werden nicht veröffentlicht.

🔗 Die API für Nutzungsmetriken erfasst die Nutzung durch Tools wie OpenCode

Kurzmeldungen

GitHub

Copilot CLI 1.0.104-1 bis -3 — Drei Vorabversionen, weiterhin ohne stabile 1.0.104; nur die -2 erläutert ihre Änderungen: Das verwaltete Modell „fusion“ startet Sitzungen auf Auto mit den Einstellungen fusionTier, und interaktive oder über das SDK gestartete Autopilot-Sitzungen warten auf ihre Hintergrundaufgaben, statt bei COPILOT_TASK_WAIT_TIMEOUT_SECONDS zu enden. 🔗 Quelle
Nur noch eine GitHub-App in Teams — Die App GitHub notifications wird zur GitHub-App und integriert Copilot: Eine Erwähnung von @GitHub in einer Benachrichtigung startet die Untersuchung, die Fehlerbehebung und den Pull Request. Die bisherige App wird in „GitHub (deprecated)“ umbenannt und am 16. November entfernt. 🔗 Quelle
EMU-Konten wiederhergestellt — Vom 1. bis zum 13. Juni wurden aufgrund eines neuen Deprovisionierungspfads rund 12 285 per SCIM deprovisionierte Enterprise Managed Users-Konten gelöscht statt gesperrt, darunter 76 noch aktive; GitHub hat sie im Oktober wiederhergestellt, ohne dass eine Aktion erforderlich ist. 🔗 Quelle
Public monitoring für secret scanning — Die Überwachung von Zugangsdaten eines Unternehmens, die in öffentlichen Repositorys offengelegt wurden, erhält die Sortierung von Warnmeldungen, eine kontinuierliche Gültigkeitsprüfung, eine REST-API und einen Webhook, weiterhin in der öffentlichen Preview; das Schließen einer Warnmeldung widerruft die offengelegten Zugangsdaten nicht. 🔗 Quelle

Assistenten im Arbeitsalltag

Docs Live auf Mobilgeräten — Nachtrag zum 21. Oktober: Docs Live kommt in die Google Docs-App auf Android und iOS; man spricht, auch unstrukturiert, und Gemini erstellt ein strukturiertes Dokument unter Rückgriff auf Gmail, Drive, Chat und das Web. Standardmäßig aktiviert, unter anderem für Business und Enterprise Standard und Plus, Google AI Pro und Ultra. 🔗 Quelle
Admin Console von ChatGPT Enterprise und Edu — Die Analysen verteilen sich auf Usage und Insights, Nutzerbefragungen ersetzen den Tab Impact, und Workspaces mit verifizierter Domain gewähren eine von Administratoren nicht veränderbare Frist von 7 Tagen für die Migration eines persönlichen ChatGPT-Workspace. 🔗 Quelle

Modelle und Infrastruktur

MiniMax M3.1 Flash auf Tenstorrent Cloud — Tenstorrent stellt das Modell seit dem Tag der Veröffentlichung seiner Gewichte auf seinen Tensix-Chips bereit, in einer Testumgebung (playground) oder eingebunden in ein Agent-Harness; weder Preise noch Durchsatz wurden angekündigt. 🔗 Quelle
GLM 5.3 Flash über die Mistral-API — Nachtrag zum 22. Oktober: Mistral stellt zai-glm-5-3-flash bereit, ein multimodales MoE mit 320B Parametern, davon 18B aktiv, mit 1M Tokens Kontext, zu 0,15 Dollar pro Million Eingabe-Tokens (0,03 im Cache) und 0,50 für die Ausgabe; das dritte Modell von Z.ai bei Mistral. 🔗 Quelle

Forschung

Beetle — Forschende aus Cambridge, von EleutherAI und aus Oxford veröffentlichen 330 kleine Modelle (285 zweisprachige, mit Englisch und jeweils einer von 21 Sprachen, und 45 einsprachige) mit Checkpoints, Daten und Code, die laut Blogbeitrag mit 100M, 2B und 24B Tokens trainiert wurden, um das Erlernen einer zweiten Sprache zu untersuchen; Repositorys ohne angegebene Lizenz. 🔗 Quelle
VocabX — Nachtrag zum 21. Oktober: Indem Dharma-AI das Vokabular seines auf Qwen3-4B basierenden Korrektursystems für portugiesische Aufsätze anhand der Kosten jedes Tokens neu aufbaut, senkt es die gemessenen Inferenzkosten um 77 % und steigert seinen Qualitätswert von 0,703 auf 0,810; vorläufige Zahlen, Artikel im Begutachtungsverfahren, kein Code veröffentlicht. 🔗 Quelle

Was das bedeutet

Die Kette von der Entdeckung einer Sicherheitslücke bis zu ihrer Behebung spielte sich in dieser Rubrik innerhalb von vier Tagen ab: OpenAI veröffentlichte am 21. Oktober die Bilanz seiner Koordinationsarbeit rund um PHP2Shell, Cognition beauftragte am 22. einen Agenten mit der Behebung der Sicherheitslücken in PHP, Node.js und GitLab, Replit entschärfte am 23. die Brotli-Lücke mit Firewall-Regeln, und OpenAI gibt nun bekannt, sie entdeckt zu haben. Der Fall Brotli zeigt, wo die Schwierigkeit liegt: Die eigentliche Ursache war im Code bereits seit Februar behoben, doch niemand hatte darin eine Sicherheitslücke erkannt, und keine veröffentlichte Version enthielt die Korrektur. Man musste die Lücke erkennen, neue Versionen veröffentlichen und anschließend darauf warten, dass Node.js, Bun, Envoy, Istio und deren Nutzer nachzogen. Eine simulierte Angriffskampagne zum Schutz einer Trainingsumgebung führt so letztlich zur Korrektur einer Bibliothek, die gewöhnliche Server und HTTP-Clients ausführen.

Coding-Agenten binden sich in die Infrastruktur anderer Anbieter ein. Claude Code lässt Monitor bei Amazon, Google und Microsoft laufen, Gemini CLI importiert die Hooks von Claude Code mit der richtigen Zeiteinheit und stellt seine Modelle für Skripte in JSON bereit, Qwen Code speichert auf Wunsch das Token seines Daemons. Die heutigen Korrekturen betreffen vor allem die Kontrolle über den Agenten: eine Esc-Taste, die den Agenten nicht stoppte, relative Pfade, die in ein benachbartes Repository schrieben, und Windows-Hooks, die einen Tool-Aufruf durchließen. Dabei geht es weniger um fehlende Funktionen als um Schutzmechanismen, die nicht griffen.

Governance setzt auf Messung. Copilot dient auch konkurrierenden Agenten als Modellanbieter, und GitHub erfasst nun serverseitig den Verbrauch von OpenCode, Claude Code oder Codex für jedes Modell samt Auswahlmodus, nachdem am Vortag bereits die Namen der Skills, Agenten und MCP-Server hinzugekommen waren. Ein Administrator sieht endlich, welche Tools sein Abonnement nutzen, wobei die von GitHub selbst beschriebenen Einschränkungen bei der Identifizierung der Clients gelten. OpenAI schlägt mit der Admin Console von ChatGPT Enterprise, die neu auf Nutzung und Akzeptanz ausgerichtet wurde, denselben Weg ein.