OpenAI заключила партнерство с Hacktron для тестирования безопасности, включая проверку соединений со сторонними сервисами. Цель — укрепить защиту и находить баги. Подробности сотрудничества не разглашаются.
Исследователь Симон Кёк обнаружил, что Google хранит в Flask-сессионной cookie pickle-сериализованный объект OAuth2WebServerFlow вместе с client_secret в открытом виде. Этот же secret подходит для подписи cookie, что позволило подделать сессию и добиться выполнения произвольного кода через pickle.loads. Уязвимость подтверждена через time.sleep: сервер Google ждал 3, 5 и 8 секунд в строгом соответствии с переданным значением.