米OpenAIが内部安全テストで稼働させていた自律型AIエージェント群が、Google開発のオープンソース圧縮ライブラリ「Brotli」に潜んでいた深刻な脆弱性（CVE-2026-111497、通称Node2Shell）を発見し、Node.jsをはじめとする主要なWeb実行環境から緊急のセキュリティ更新が一斉に公開されました。
問題が見つかったのは、Web通信の高速化に広く使われているBrotliデコーダーのストリーミング展開処理です。悪意を持って細工された圧縮データをNode.jsの標準関数やfetch通信で受信・展開した際、内部バッファの境界を越えてメモリを上書きしてしまう欠陥があり、認証なしでシステムクラッシュや遠隔コード実行（RCE）を引き起こす危険性が確認されました。
興味深い点として、このバグの原因箇所は数か月前にソースコード上で一度修正されていたものの、当時はセキュリティ上の重大欠陥とは認識されないまま放置されていました。OpenAIがフロンティアモデルの学習一時停止期間中にAIエージェントでサンドボックス環境の弱点を徹底探索させた結果、攻撃可能な脆弱性であることが初めて突き止められ、関係機関への協調開示に至りました。
影響はNode.jsのバージョン22、24、26系のほか、Python向けのBrotliパッケージや高速ランタイムのBun、プロキシ基盤のEnvoyなどインターネットの基幹ソフトウェアに広く及んでいます。先日のPHPの欠陥発掘に続き、人間の目視では見落とされていた基礎ライブラリの急所をAIが次々と暴き出す時代が現実のものとなっています（一次ソース：Node.js 公式セキュリティ勧告）。