Drie berichten uit de afgelopen dagen die je raken als je AI gebruikt of software bouwt. Een door OpenAI Codex Security gevonden lek in Node.js vraagt om een update. OpenAI concurreert hard op prijs met Anthropic. En het Poolse NASK gaat samen met OpenAI modellen testen.
Node2Shell: werk Node.js bij
Op 21 oktober bracht Node.js een beveiligingsupdate uit voor CVE-2026-111497, inmiddels bekend als Node2Shell. Het gaat om een fout in de Brotli-decoder die in Node.js zit: met één kwaadaardig gecomprimeerd bericht kan een aanvaller het geheugen van je server beschadigen, gegevens uitlezen of code uitvoeren. Inloggen is niet nodig. De lijnen 22.x, 24.x en 26.x zijn getroffen; de veilige versies zijn 22.23.4, 24.22.1 en 26.12.1. Gevonden door Khai Tran en Sylvie Mayer van OpenAI Codex Security.
Het lek zit in de Brotli-bibliotheek zelf, dus niet alleen Node.js is kwetsbaar. Volgens The Hacker News en pwn.watch gaat het ook om Bun (vóór 1.4.4), de Python-pakketten Brotli en brotlicffi en Envoy met Brotli-decompressie aan.
Wat betekent dit voor jou? Laat je een webshop, klantportaal of API op Node.js draaien, vraag je ontwikkelaar of hostingpartij dan of de update er al op staat. Het is na PHP2Shell de tweede ernstige fout in korte tijd die met hulp van AI is gevonden. Tools voor softwareontwikkeling zoals SonarQube en GitHub Copilot vind je in onze lijst.
OpenAI geeft Replit meer dan 30% korting
Volgens The Information, samengevat op Techmeme, heeft het programmeerplatform Replit het grootste deel van zijn AI-uitgaven verschoven van Anthropic naar OpenAI. OpenAI gaf meer dan 30% korting in een deal van ruim $100 miljoen per jaar, nadat Anthropic zijn eerdere korting niet wilde verlengen. Volgens AI Weekly is OpenAI nu het standaardmodel in Replit Agent; Claude kun je nog zelf kiezen.
Wat betekent dit voor jou? Als je zakelijk veel tokens afneemt, loont het om te onderhandelen: de grote aanbieders gebruiken korting om klanten binnen te halen. Let wel op dat een tool die je gebruikt ongemerkt van onderliggend model kan wisselen. Dat verandert waar je data heen gaat. Vergelijk de twee op ChatGPT vs Claude en bekijk de AVG-check voor ChatGPT in softwareontwikkeling en die voor Claude.
NASK wordt testpartner van OpenAI
OpenAI en het Poolse onderzoeksinstituut NASK, waar ook CERT Polska onder valt, tekenden op 23 oktober een samenwerking op AI-veiligheid. Ze gaan geavanceerde modellen testen, zwakke plekken zoeken en werken aan het herkennen van door AI gemaakte content. Bij een proef in juli vond CERT Polska met modellen van OpenAI zes kwetsbaarheden in software van MikroTik-routers, meldt The Next Web. NASK is daarmee na de Amerikaanse en Britse instituten de derde nationale testpartner van OpenAI.
Wat betekent dit voor jou? Er komen meer onafhankelijke Europese tests van de grote modellen. Werk je bij de overheid, dan zijn zulke rapporten bruikbaar naast je eigen afweging, zoals de AVG-check voor ChatGPT bij de overheid.
Kort samengevat
- Draai je Node.js, Bun of Python met Brotli: installeer de update.
- OpenAI geeft forse kortingen om klanten van Anthropic over te nemen.
- NASK gaat als Europees instituut modellen van OpenAI testen.
Alle modellen en hun privacyscores naast elkaar: /modellen/ en /veiligheid/.
