🗾ITmedia AI+ (日本)•較早收集於 85m
OpenAI macOS 應用程式遭供應鏈攻擊
💡重大安全更新：OpenAI macOS 應用程式憑證遭入侵，請於 6 月 12 日前更新以確保軟體完整性。
⚡ 30-Second TL;DR
有什麼變化
兩名員工的設備因供應鏈攻擊而遭到入侵。
為什麼重要
此事件凸顯了 AI 開發環境中供應鏈漏洞的風險，企業需加強軟體發布過程中的憑證管理與安全性審計。
下一步行動
如果您使用 OpenAI macOS 應用程式，請立即檢查應用程式設定中的更新，確保您正在執行包含新安全憑證的最新版本。
誰應關注：Developers & AI Engineers
關鍵要點
- •兩名員工的設備因供應鏈攻擊而遭到入侵。
- •macOS 應用程式的程式碼簽章憑證可能已外洩。
- •目前尚未發現客戶數據外洩的跡象。
- •用戶必須在 6 月 12 日前更新 OpenAI macOS 應用程式以確保安全。
🧠 深度解析
Web-grounded analysis with 15 cited sources.
🔑 增強重點摘要
- •攻擊涉及廣泛使用的開源函式庫 Tanstack npm，該函式庫於 2026 年 5 月 11 日遭到入侵，屬於更廣泛的「Mini Shai-Hulud」供應鏈攻擊活動。
- •惡意軟體旨在竊取開發人員的雲端運算帳戶登入憑證。
- •儘管 macOS 應用程式需要更新，但受影響的原始碼儲存庫也包含用於 iOS 和 Windows 產品的簽章憑證，不過這些平台目前無需採取行動。
- •OpenAI 的調查發現，在兩名受影響員工可存取的內部原始碼儲存庫中，偵測到與惡意軟體行為一致的未經授權存取和憑證外流活動。
🛠️ 技術深入
- 攻擊者透過發布惡意軟體版本（例如 Tanstack npm 套件或 Axios v1.14.1 和 v0.30.4），其中包含惡意依賴項（例如「plain-crypto-js」）來部署跨平台後門 WAVESHAPER.V2。
- OpenAI 用於簽署 macOS 應用程式的 GitHub Actions 工作流程下載並執行了惡意函式庫，該工作流程可存取簽章憑證和公證資料。
- 惡意版本在被移除前已上線約 3 小時。
- OpenAI 正在輪換程式碼簽章憑證，並與 Apple 合作阻止使用舊憑證進行新的公證。
- 此次攻擊發生在 OpenAI 積極部署新的供應鏈安全防護措施期間，兩台受影響的員工設備尚未收到這些更新。
🔮 前景展望AI analysis grounded in cited sources
加強開源供應鏈安全審查
此事件凸顯了廣泛使用的開源函式庫的脆弱性，可能促使整個行業實施更嚴格的安全審計和實踐。
加速 AI 公司採用先進供應鏈安全措施
OpenAI 的經驗表明，其他 AI 公司將優先並加速其供應鏈安全增強措施。
利用受損憑證進行更複雜的社交工程或目標攻擊的潛力
即使目前沒有惡意軟體被簽署，簽章憑證的外流仍增加了未來利用看似合法的軟體進行目標攻擊的風險。
⏳ 時間線
2024-05
OpenAI 推出其首款 macOS 版 ChatGPT 應用程式
2026-03-31
OpenAI 的 GitHub Actions 工作流程在供應鏈攻擊中下載並執行了惡意 Axios 函式庫版本，該工作流程可存取 macOS 應用程式簽章憑證
2026-04
OpenAI 披露 Axios 相關安全事件，並宣布撤銷和更換 macOS 簽章憑證，要求用戶在 5 月 8 日前更新
2026-05-08
舊版 OpenAI macOS 應用程式停止接收更新和支援，可能無法運作
2026-05-11
廣泛使用的開源函式庫 TanStack npm 遭到入侵，作為「Mini Shai-Hulud」供應鏈攻擊的一部分，導致兩名 OpenAI 員工設備受影響
2026-05-14
OpenAI 針對 TanStack 攻擊發布回應，確認憑證可能外洩，並要求 macOS 用戶在 6 月 12 日前更新應用程式
📎 來源 (15)
Factual claims are grounded in the sources below. Forward-looking analysis is AI-generated interpretation.
- Google Search Source
- Google Search Source
- Google Search Source
- Google Search Source
- Google Search Source
- Google Search Source
- Google Search Source
- Google Search Source
- Google Search Source
- Google Search Source
- Google Search Source
- Google Search Source
- Google Search Source
- Google Search Source
- Google Search Source
📰
AI 週報
閱讀本週精選 AI 大事摘要 →
👉相關動態
AI 策展新聞聚合。所有內容版權歸原始發布者所有。
原始來源： ITmedia AI+ (日本) ↗