OpenAI Response to TanStack npm Supply Chain Attack

•「Mini Shai-Hulud」攻擊於 2026 年 5 月 11 日發生，透過劫持 TanStack 合法的發布管道及其受信任的 OIDC 身份，在 42 個 @tanstack/* 套件中發布了 84 個惡意 npm 套件。
•此攻擊是 TeamPCP 威脅組織更廣泛行動的一部分，該組織也入侵了 Mistral AI、UiPath、OpenSearch 和 PyPI 套件，是 2026 年最大規模的協調註冊表投毒事件之一。
•惡意套件帶有有效的 SLSA Build Level 3 來源證明，因為合法的建構管道本身被劫持，突顯了當前來源驗證的漏洞。
•該惡意軟體是一種自我複製的蠕蟲，旨在竊取開發者憑證（GitHub、雲端、npm 令牌、API 金鑰、SSH 金鑰），並包含一個「死人開關」，若被盜的 GitHub 令牌被撤銷，它會嘗試刪除用戶的整個主目錄。
•OpenAI 要求 macOS 應用程式在 2026 年 6 月 12 日前更新，是為了更新安全憑證以防止分發假冒應用程式，這與 2026 年 5 月 8 日因 Axios 相關事件而設定的更新截止日期不同。

攻擊機制： 攻擊者利用了鏈式漏洞，包括 pull_request_target 「Pwn Request」模式、跨分叉↔基礎信任邊界的 GitHub Actions 快取中毒，以及從 GitHub Actions 執行器記憶體中提取 OpenID Connect (OIDC) 令牌。
惡意負載： 惡意版本包含一個高度混淆的 router_init.js 文件（約 2.3MB），具有守護進程化、訪問 GitHub 相關環境變數、臨時文件暫存和遠端分派行為。
傳播方式： 蠕蟲利用 optionalDependencies 中的 prepare 生命週期鉤子，在 npm install 期間透過 Bun 運行時執行惡意負載。
目標： 憑證竊取器針對雲端供應商（AWS、GCP、Kubernetes、HashiCorp Vault）、加密貨幣錢包、AI 工具、訊息應用程式和 CI 系統。
資料外洩： 被盜資料透過 Session 匿名訊息應用程式外洩，將竊取行為偽裝成普通的加密聊天流量。
持久性： 惡意軟體試圖建立持久性機制，並部署了一個與被盜 GitHub 憑證相關聯的「死人開關」，威脅若令牌被撤銷則擦除用戶的主目錄。
SLSA 來源證明： 此次攻擊值得注意的是，它產生了帶有有效 SLSA Build Level 3 來源證明的惡意 npm 套件，因為合法的建構管道本身被劫持。

軟體供應鏈安全將面臨更複雜的威脅。

「Mini Shai-Hulud」攻擊利用了多個鏈式漏洞，並繞過了 SLSA 證明，表明攻擊者正採用更精密的技術，要求防禦方提升安全策略。

開源生態系統的信任模型需要重新評估。

攻擊成功劫持了合法發布管道並生成有效證明，這挑戰了開發者對開源套件和其證明機制的固有信任。

OpenAI 將持續加強其內部安全協議和產品安全功能。

此次事件促使 OpenAI 升級系統完整性與簽署憑證，並可能加速其 AI 驅動安全工具（如 Daybreak/Codex Security）的發展和應用，以應對類似威脅。

2025-09

首次觀察到「Shai-Hulud」蠕蟲攻擊，利用網路釣魚竊取 npm 維護者憑證，影響數百個套件。

2026-03

OpenAI 推出 Codex Security，作為其應用程式安全代理。

2026-03-31

涉及 Axios 的第三方開發者工具供應鏈攻擊，導致 OpenAI 重新發行 macOS 應用程式的簽署憑證。

2026-04-30

OpenAI 推出「進階帳戶安全」功能，要求使用通行密鑰或實體安全金鑰，以增強帳戶保護。

2026-05-11

「Mini Shai-Hulud」蠕蟲攻擊 TanStack npm 套件，利用 GitHub Actions 漏洞發布 84 個惡意版本，影響包括 Mistral AI 在內的多個生態系統。

2026-05-11

OpenAI 推出 Daybreak 網路安全計畫，將 Codex Security 重新定位為企業安全平台，旨在將防禦韌性整合到軟體設計中。

OpenAI 針對 TanStack npm 供應鏈攻擊的回應