OpenAI 遭遇 npm 供应链攻击：Mac 客户端证书外泄，须限期更新

大家总以为黑客费尽心思盯上 OpenAI，是为了偷最新的未公开大模型权重，或者去翻用户的聊天记录。但现实往往更接地气，他们可能只是在前端代码的开源依赖库里下了个毒，顺手把开发者的钥匙串给摸走了。

5 月 11 日，OpenAI 披露了自家的两台员工设备遭遇安全事件。这次事故源于一场代号为 Mini Shai-Hulud 的供应链攻击，黑客攻破了前端开发者几乎人手一份的常用开源库 TanStack npm。

钥匙被顺走了，但锁暂时还没开

黑客借由受感染的员工设备，摸进了 OpenAI 内部部分源码仓库，并顺走了一批凭证，其中就包括覆盖 iOS、macOS、Windows 和 Android 客户端的代码签名证书。

代码签名证书相当于官方的身份证，一旦落入黑客手里，对方就能拿它给木马签名，伪装成官方的 ChatGPT 客户端推给用户。

不过 OpenAI 强调，这次攻击只盗走了有限的凭证，没碰到任何生产环境、用户数据、密码或 API Key，也没有核心模型资产泄露。第三方安全取证调查后，目前未发现攻击者利用这套证书签名过恶意软件。

为了防范风险，OpenAI 正在全面轮换签名证书。iOS 和 Windows 用户不用手动操作，但 Mac 用户必须注意动作。

最初 OpenAI 要求 macOS 用户在 6 月 12 日前完成更新，随后把最后期限延后到了 6 月 26 日。包括 ChatGPT Desktop、Codex App、Codex CLI 和 Atlas 在内的 Mac 工具，如果逾期不升级到新版本，旧证书被彻底吊销后应用就会直接罢工。

防火墙刚建一半，小偷就从后门溜进来了

有意思的是这次翻车的时间点。OpenAI 解释说，之前在 Axios 供应链攻击事件之后，他们就已经在加速部署针对 CI/CD 和依赖包的安全控制，比如限制 package manager 只能下载发布了一定时间以上的包。

尴尬的是，这些防护措施当时正在分批次推送。偏偏那两台倒霉的员工电脑还没轮到更新配置，结果就在下载恶意包时中了招。

为了不让用户手里的 Mac 应用瞬间瘫痪，OpenAI 没有立即吊销证书，而是先跟 Apple 配合卡死了旧证书的新公证流程，以此锁死黑客用偷来的旧钥匙做伪装的可能，给用户留出了近一个半月的升级缓冲期。

为什么重要

如果你是 Mac 用户，现在最实在的动作就是打开 ChatGPT 或 Codex 检查更新，确保在 6 月 26 日前升级到最新版，而且千万不要通过第三方网站或聊天软件里传过来的安装包去更新。

这件事对安全行业的触动更大。即便强如顶尖 AI 实验室，在错综复杂的现代开源依赖网络面前同样脆弱。黑客根本不用硬啃你防守最严密的云端集群，只要向上游开源生态下毒，就能直接绕过外围防线。

我们认为，OpenAI 这次的事后应对相当老练。他们没有一拍脑袋立即吊销证书导致全球 Mac 用户大面积闪退报错，而是先截断 Apple 端的公证通道，再联合平台方监控异常，把事故震荡压到了最低。

但看起来有些讽刺的是，安全防线的推进哪怕只慢了半拍，灰度覆盖留下的空窗期就会成为致命缺口。大厂的终端防御策略只要没做到百分之百同步，木桶最短的那块板子随时会被外部依赖击穿。