OpenAIにnpmサプライチェーン攻撃、Mac向けアプリの更新を要請

最先端の AI 企業を狙うハッカーの目的といえば、未発表モデルの重みデータやユーザーの対話ログだと想像しがちです。しかし現実の攻撃はもっと泥臭く、開発者が普段使いするオープンソースのパッケージに罠を仕掛け、認証鍵を盗み出す手法でした。

OpenAI は、2026 年 5 月 11 日に従業員の端末 2 台が侵害されたことを明らかにしました。原因は、フロントエンド開発で広く使われている TanStack npm ライブラリを標的とした、Mini Shai-Hulud と呼ばれるサプライチェーン攻撃です。

署名鍵は流出したが、悪用は未確認

攻撃者は感染した 2 台の端末を経由し、社内ソースコードリポジトリの一部に侵入しました。そこから macOS、iOS、Windows、Android アプリ向けのコード署名証明書を含む一部の認証情報が持ち出されました。

コード署名証明書は、アプリが本物であることを OS に証明するためのデジタル身分証です。これが悪用されれば、OpenAI 製を装った偽アプリが作られる危険性があります。

外部の専門調査会社を入れた調査の結果、ユーザーデータや API キー、パスワード、モデルの知的財産への侵害は確認されませんでした。流出した証明書で署名された不正ソフトも見つかっていません。

OpenAI は安全策として証明書を一新する対応を進めています。Windows や iOS のユーザーが自ら行う作業はありませんが、Mac ユーザーには期限付きの対応が求められます。

当初設定されたアップデート期限は 6 月 12 日でしたが、Apple との協議を経て 6 月 26 日まで延長されました。ChatGPT Desktop、Codex App、Codex CLI、Atlas を使っている Mac ユーザーは、この日までに最新版へ更新しないと旧証明書の失効に伴ってアプリが起動しなくなります。

セキュリティ刷新の合間を突かれた隙

皮肉なのは、OpenAI がすでに対策を進めていた最中の出来事だった点です。同社は過去の Axios 関連インシデントを受け、公開直後の怪しいパッケージを弾く仕組みなど、CI/CD やパッケージ管理の防御を強化していました。

しかし、この新しい防御設定は段階的に社内へ適用されている最中でした。被害に遭った 2 台の端末にはまだ設定が届いておらず、悪意あるパッケージをダウンロードしてしまいました。

OpenAI は旧証明書を即座に全面失効させてユーザーのアプリを一斉停止させる事態を避けるため、Apple と連携して旧証明書による新規公証（Notarization）のみを遮断しました。偽アプリの流通を防ぎつつ、正規ユーザーに安全な移行期間を設ける手堅い対応を取っています。

なぜ重要か

Mac で OpenAI のデスクトップツールや Codex を使っているユーザーは、6 月 26 日までにアプリ内から必ずアップデートを済ませる必要があります。騒ぎに便乗した偽のインストーラーが配布される恐れもあるため、公式サイトかアプリ内更新以外は触るべきではありません。

業界全体にとって、オープンソースのサプライチェーンがいかに脆いアキレス腱であるかを改めて突きつける事例になりました。どれほど強固な AI 基盤を持っていても、末端の開発者が取り込む JavaScript ライブラリ 1 つで社内証明書が流出してしまいます。

今回の OpenAI の事後対応は巧みだったと評価できます。いきなり証明書を完全失効させて世界中の Mac ユーザーを混乱に落とすのではなく、Apple 側で新規公証を止めることで実害を防ぎつつ猶予期間を作りました。

とはいえ、セキュリティポリシーの段階的展開が結果として裏目に出た形です。最前線の企業であっても、端末の防御設定にわずかなタイムラグが生じるだけで攻撃者に突かれてしまうという、現代の企業セキュリティの難しさが浮き彫りになりました。