OpenAI ha trovato una falla di Brotli sfruttabile da remoto, Claude Code 2.1.310 apre Monitor a Bedrock, Copilot conta gli strumenti di terze parti

Mettendo alla prova l’isolamento del proprio ambiente di addestramento, OpenAI ha trovato in Brotli, la libreria di compressione integrata in Node.js, Bun ed Envoy, una falla che consente l’esecuzione di codice da remoto senza autenticazione, identificata come CVE-2026-111497 e ora corretta: una scoperta che il suo post del giorno prima non menzionava. Sul fronte degli agenti di coding, Claude Code 2.1.310 apre lo strumento Monitor a Bedrock, Vertex e Foundry, la nightly di Gemini CLI impara a elencare i propri modelli in JSON e Qwen Code passa alla v0.26.1. GitHub, infine, include nell’API delle metriche Copilot il conteggio delle richieste di strumenti di terze parti come OpenCode, Claude Code e Codex.

OpenAI ha trovato in Brotli una falla di esecuzione di codice da remoto senza autenticazione, corretta in Node.js, Bun ed Envoy

23 ottobre — La sera della pubblicazione del post sulla messa in sicurezza dell’ambiente di addestramento dei suoi modelli di punta, raccontato qui ieri, OpenAI aggiunge su X un’informazione che non vi figurava. Durante la stessa campagna di attacco simulato (red teaming), l’azienda ha trovato una falla di esecuzione di codice da remoto senza autenticazione in Brotli, una libreria di compressione integrata in numerosi software. Bastano dati compressi malevoli, senza creare un account, e l’attacco funziona in entrambe le direzioni.

That is, an unpatched server that accepts compressed input could be taken over by a malicious client, and an unpatched client that accepts compressed input (such as “curl —compressed”) could be taken over by a malicious server.

🇮🇹 In altre parole, un server senza patch che accetta dati compressi potrebbe essere preso sotto controllo da un client malevolo, e un client senza patch che accetta dati compressi (come « curl —compressed ») potrebbe esserlo da un server malevolo. — @OpenAI su X

La causa alla radice era stata corretta nel codice sorgente di Brotli già a febbraio, senza che nessuno vi riconoscesse una falla, e da allora non era stata pubblicata alcuna versione. OpenAI ha avvisato Brotli e progetti a valle come Node.js; Brotli ha pubblicato nuove versioni e la CVE-2026-111497. Secondo la pagina che Patch the Planet dedica alla falla, l’avviso di sicurezza di Node.js attribuisce la segnalazione al team Codex Security di OpenAI. Envoy e Istio sono interessati solo se configurati per decomprimere dati Brotli; la falla può anche causare il crash di un processo o divulgare contenuti della memoria, e la pagina non indica alcun punteggio CVSS.

Software interessato	Versioni corrette
Node.js	22.23.4, 24.22.1 e 26.12.1
Bun	1.4.4 (con Brotli 1.2.1)
Envoy Proxy	1.40.0, 1.39.3, 1.38.6 e 1.37.8
Istio	1.29.9 (ramo a fine vita), 1.30.6 e 1.31.2
Google Brotli (progetto upstream)	1.0.10, 1.1.1 e 1.2.1

Se non è possibile aggiornare subito, la pagina raccomanda di disattivare la decodifica Brotli dei dati non attendibili mantenendo gzip o deflate: rifiutare le richieste Content-Encoding: br prima di qualsiasi decompressione, disattivare la decompressione automatica dei client HTTP e i filtri Brotli di Envoy e Istio. Disattivare la compressione Brotli delle risposte su un CDN non basta. La CVE era già comparsa qui, tra le falle di Node.js prese di mira dal plugin di Cognition (22 ottobre) e poi nella risposta di Replit (23 ottobre), senza che OpenAI figurasse come autrice della scoperta.

🔗 La pagina di Patch the Planet sulla falla di Brotli

Agenti di coding: Claude Code 2.1.310, Gemini CLI e Qwen Code 0.26.1

Tre agenti di coding da riga di comando pubblicano una versione in meno di ventiquattro ore: apertura ai fornitori terzi per Claude Code, controllo dell’agente per Gemini CLI, demone e attività pianificate per Qwen Code.

Claude Code 2.1.310 apre lo strumento Monitor a Bedrock, Vertex e Foundry e corregge 14 problemi

23 ottobre — Claude Code 2.1.310 arriva su npm alle 21 h 20 UTC, poi come release GitHub alle 23 h 39 UTC, con 26 voci di cui 14 correzioni. Lo strumento Monitor, che avvia un comando in background e restituisce ogni riga di output a Claude perché reagisca a un log o a una modifica di un file, esisteva da aprile: ora funziona su Amazon Bedrock, Vertex e Microsoft Foundry, così come i monitor dei plugin (plugin monitors), e quando la telemetria o il traffico non essenziale sono disattivati. Dietro alcuni gateway che rifiutano il valore beta effort-2025-11-24 o i messaggi di sistema nel corso della conversazione, Claude Code ora riprova senza di essi, e la compattazione che segue un errore Prompt is too long non conserva più una quantità eccessiva di testo denso (base64, SVG). Su Windows, una correzione riguarda la sicurezza: gli hook PreToolUse e PermissionRequest lasciavano passare una chiamata a uno strumento quando mancava Git Bash e il comando dell’hook era composto soltanto da stringhe tra virgolette. Su Linux, /sandbox indica la restrizione AppArmor di Ubuntu che impedisce l’avvio di bubblewrap, spiegando come rimuoverla. I permessi delle sessioni cloud e di Remote Control entrano nei ruoli personalizzati di Enterprise, Claude Tag riceve tre correzioni e gli SDK Agent TypeScript 0.3.310 e Python 0.2.174 si allineano a questa versione.

🔗 Le note di rilascio di Claude Code 2.1.310

Gemini CLI: la nightly del 24 ottobre elenca i modelli in JSON e rispetta l’annullamento con Esc

24 ottobre — Pubblicata alle 01 h 15 UTC, la nightly v0.67.0 del 24 ottobre include cinque PR integrate il giorno prima. La sua unica novità, gemini models (o l’opzione --list-models), elenca i modelli disponibili per la configurazione corrente con identificativo, nome, descrizione e limiti di contesto; con -o json, restituisce un array utilizzabile da script, senza log di autenticazione sullo standard output, per poterla collegare a jq. Risponde a un ticket aperto l’11 giugno. Due correzioni riguardano il controllo dell’agente: un annullamento con Esc subito dopo un gruppo di chiamate agli strumenti mostrava Request cancelled, ma l’agente ripartiva e lanciava nuovi comandi shell (PR 29868); in un IDE aperto su più radici o su una cartella superiore, i percorsi relativi vengono ora risolti rispetto al workspace del file attivo, mentre prima la CLI poteva scrivere in un repository adiacente (PR 29838). Infine, gemini hooks migrate --from-claude converte i timeout degli hook di Claude Code da secondi a millisecondi: un hook impostato su 30 secondi veniva interrotto dopo 30 millisecondi. La stable v0.65.0 e la preview v0.66.0-preview.0 restano invariate.

🔗 Gemini CLI v0.67.0-nightly.20261024 su GitHub

Qwen Code v0.26.1 conserva il token del demone e subordina le attività pianificate a un comando shell

24 ottobre — Tre giorni dopo la v0.26.0, Qwen Code passa alla v0.26.1 stable con 41 funzionalità, 63 correzioni e una sola modifica incompatibile, limitata al canale QQ Bot. Su richiesta, qwen daemon start --save-token conserva il token di accesso del demone in un file leggibile soltanto dal proprietario, e un’attività pianificata può dipendere da un comando shell eseguito al di fuori del modello, alla base di sonde che monitorano le pull request e di un comando /autofix-pr. Managed Agent acquisisce la compressione manuale del contesto e la gestione dei server MCP senza ricreare le sessioni; il supporto ufficiale per DeepSeek passa a deepseek-flash.

🔗 Qwen Code v0.26.1 su GitHub

L’API delle metriche di utilizzo di Copilot conta le richieste di OpenCode, Claude Code, Codex e degli altri strumenti di terze parti

23 ottobre — L’API delle metriche di utilizzo di GitHub Copilot misura ora le richieste ai modelli inviate da strumenti esterni all’editor che passano attraverso Copilot, come OpenCode, Claude Code, Codex o Zed. Questi strumenti spesso non inviano telemetria dell’editor, perciò il loro utilizzo sfuggiva a totals_by_ide; il conteggio avviene ora lato server, in un nuovo array totals_by_client dei report aziendali, dell’organizzazione e per utente, su 1 giorno e su 28 giorni.

Campo di `totals_by_client`	Cosa misura
`client`	Lo strumento mittente: opencode, claude_code, codex, zed, copilot_cli, vscode, jetbrains… (gli strumenti non riconosciuti sotto `other`)
`request_count`	Le richieste ai modelli riuscite
`session_count`	Le sessioni distinte
`token_usage`	I token di prompt e di output, con la media per richiesta
`totals_by_model`	Le stesse misure per modello, con la modalità di selezione: `user_selected`, `auto` o `product_selected`

GitHub stesso ne esplicita i limiti: un prompt può attivare più chiamate al modello, quindi request_count non è confrontabile con un numero di prompt; il client viene riconosciuto al meglio delle possibilità (best-effort) tramite l’identificativo di integrazione (integration ID) inviato dallo strumento, senza verificarne l’identità; Copilot code review e l’agente cloud riportano un modello scelto dal prodotto. Questa misura si distingue dal monitoraggio delle applicazioni di agenti (agent apps), che conta le attività avviate su GitHub da Claude o Codex. Si rivolge ai proprietari e ai responsabili della fatturazione, o a qualsiasi ruolo dotato del permesso View Copilot Metrics, e prosegue l’aggiunta, il 22 ottobre, dei nomi di skill, agenti e server MCP. Non viene pubblicato alcun dato di utilizzo.

🔗 L’API delle metriche di utilizzo aggiunge l’uso di strumenti come OpenCode

Notizie in breve

GitHub

Copilot CLI 1.0.104-1 a -3 — Tre prerelease, ancora senza una 1.0.104 stable; solo la -2 dettaglia le modifiche: il modello gestito « fusion » avvia le sessioni su Auto con le impostazioni fusionTier, e le sessioni Autopilot interattive o SDK attendono le proprie attività in background invece di fermarsi a COPILOT_TASK_WAIT_TIMEOUT_SECONDS. 🔗 fonte
Una sola app GitHub in Teams — L’app GitHub notifications diventa l’app GitHub e integra Copilot: menzionare @GitHub su una notifica avvia l’indagine, la correzione e la pull request. La vecchia app sarà rinominata « GitHub (deprecated) » e poi ritirata il 16 novembre. 🔗 fonte
Account EMU ripristinati — Dal 1º al 13 giugno, circa 12 285 account Enterprise Managed Users deprovisionati tramite SCIM sono stati eliminati anziché sospesi, di cui 76 ancora attivi, a causa di un nuovo percorso di deprovisioning; GitHub li ha ripristinati a ottobre, senza che fosse necessaria alcuna azione. 🔗 fonte
Public monitoring del secret scanning — Il monitoraggio delle credenziali di un’azienda esposte nei repository pubblici acquisisce l’ordinamento degli avvisi, un controllo continuo della validità, un’API REST e un webhook, sempre in anteprima pubblica; chiudere un avviso non revoca la credenziale esposta. 🔗 fonte

Assistenti al lavoro

Docs Live su mobile — Recupero del 21 ottobre: Docs Live arriva nell’app Google Docs su Android e iOS; si parla, anche in modo disordinato, e Gemini costruisce un documento strutturato attingendo a Gmail, Drive, Chat e al web. Attivato per impostazione predefinita, in particolare per Business ed Enterprise Standard e Plus, Google AI Pro e Ultra. 🔗 fonte
Admin Console di ChatGPT Enterprise ed Edu — Le analisi si distribuiscono tra Usage e Insights, i sondaggi agli utenti sostituiscono la scheda Impact e i workspace con dominio verificato concedono 7 giorni, non modificabili dagli amministratori, per migrare un workspace ChatGPT personale. 🔗 fonte

Modelli e infrastruttura

MiniMax M3.1 Flash su Tenstorrent Cloud — Tenstorrent rende disponibile il modello dal giorno della pubblicazione dei suoi pesi, in un ambiente di prova (playground) o collegato a un harness per agenti, sui propri chip Tensix; non sono stati annunciati né prezzi né throughput. 🔗 fonte
GLM 5.3 Flash sull’API Mistral — Recupero del 22 ottobre: Mistral rende disponibile zai-glm-5-3-flash, MoE multimodale da 320B parametri di cui 18B attivi, con 1M token di contesto, a 0,15 dollari per milione di token in input (0,03 in cache) e 0,50 in output; terzo modello di Z.ai su Mistral. 🔗 fonte

Ricerca

Beetle — Ricercatori di Cambridge, EleutherAI e Oxford pubblicano 330 piccoli modelli (285 bilingui, inglese e una di 21 lingue, e 45 monolingui) con checkpoint, dati e codice, addestrati su 100M, 2B e 24B token secondo il post, per studiare l’apprendimento di una seconda lingua; repository senza licenza dichiarata. 🔗 fonte
VocabX — Recupero del 21 ottobre: ricostruendo il vocabolario del proprio correttore di temi in portoghese basato su Qwen3-4B in funzione del costo di ogni token, Dharma-AI riduce del 77 % il costo di inferenza misurato e porta il punteggio di qualità da 0,703 a 0,810; dati provvisori, articolo in revisione, nessun codice pubblicato. 🔗 fonte

Cosa significa

Il percorso che va dalla scoperta di una vulnerabilità alla sua correzione si è svolto in quattro giorni su queste pagine: OpenAI pubblicava il 21 ottobre il resoconto del proprio coordinamento su PHP2Shell, Cognition affidava il 22 a un agente la correzione delle vulnerabilità di PHP, Node.js e GitLab, Replit arginava quella di Brotli con regole del firewall il 23, e OpenAI rivela ora di averla scoperta. Il caso Brotli mostra dove si trovi la difficoltà: la causa alla radice era stata corretta nel codice fin da febbraio, ma nessuno vi aveva riconosciuto una vulnerabilità e nessuna versione includeva la correzione. È stato necessario riconoscerla, pubblicare nuove versioni, poi attendere che Node.js, Bun, Envoy, Istio e i loro utenti si adeguassero. Una campagna di attacco simulata condotta per proteggere un ambiente di addestramento finisce così per correggere una libreria eseguita da comuni server e client HTTP.

Gli agenti di coding si collegano all’infrastruttura altrui. Claude Code esegue Monitor su Amazon, Google e Microsoft, Gemini CLI importa gli hooks di Claude Code con l’unità di tempo corretta ed espone i propri modelli in JSON per gli script, Qwen Code conserva su richiesta il token del proprio daemon. Le correzioni del giorno riguardano soprattutto il controllo dell’agente: un tasto Esc che non fermava l’agente, percorsi relativi che scrivevano in un repository vicino, hooks Windows che lasciavano passare una chiamata a uno strumento. Più che funzionalità mancanti, erano misure di protezione che non reggevano.

La governance passa dalla misurazione. Copilot funge anche da fornitore di modelli per agenti concorrenti, e GitHub ora conteggia lato server ciò che OpenCode, Claude Code o Codex consumano, modello per modello, con la modalità di selezione, il giorno dopo l’aggiunta dei nomi di skills, agenti e server MCP. Un amministratore vede finalmente quali strumenti utilizzano il suo abbonamento, con i limiti che GitHub stesso indica sull’identificazione dei client. OpenAI segue la stessa direzione nell’Admin Console di ChatGPT Enterprise, riorganizzata attorno all’utilizzo e all’adozione.