OpenAI 遭遇 npm 供應鏈攻擊：Mac 客戶端證書外洩，須限期更新

大家總以為駭客費盡心思盯上 OpenAI，是為了偷最新的未公開大模型權重，或者去翻使用者的聊天記錄。但現實往往更接地氣，他們可能只是在前端程式碼的開源依賴庫裡下了個毒，順手把開發者的鑰匙串給摸走了。

5 月 11 日，OpenAI 披露了自家的兩臺員工裝置遭遇安全事件。這次事故源於一場代號為 Mini Shai-Hulud 的供應鏈攻擊，駭客攻破了前端開發者幾乎人手一份的常用開源庫 TanStack npm。

鑰匙被順走了，但鎖暫時還沒開

駭客藉由受感染的員工裝置，摸進了 OpenAI 內部部分原始碼倉庫，並順走了一批憑證，其中就包括覆蓋 iOS、macOS、Windows 和 Android 客戶端的程式碼簽名證書。

程式碼簽名證書相當於官方的身份證，一旦落入駭客手裡，對方就能拿它給木馬簽名，偽裝成官方的 ChatGPT 客戶端推給使用者。

不過 OpenAI 強調，這次攻擊只盜走了有限的憑證，沒碰到任何生產環境、使用者資料、密碼或 API Key，也沒有核心模型資產洩露。第三方安全取證調查後，目前未發現攻擊者利用這套證書籤名過惡意軟體。

為了防範風險，OpenAI 正在全面輪換籤名證書。iOS 和 Windows 使用者不用手動操作，但 Mac 使用者必須注意動作。

最初 OpenAI 要求 macOS 使用者在 6 月 12 日前完成更新，隨後把最後期限延後到了 6 月 26 日。包括 ChatGPT Desktop、Codex App、Codex CLI 和 Atlas 在內的 Mac 工具，如果逾期不升級到新版本，舊證書被徹底吊銷後應用就會直接罷工。

防火牆剛建一半，小偷就從後門溜進來了

有意思的是這次翻車的時間點。OpenAI 解釋說，之前在 Axios 供應鏈攻擊事件之後，他們就已經在加速部署針對 CI/CD 和依賴包的安全控制，比如限制 package manager 只能下載釋出了一定時間以上的包。

尷尬的是，這些防護措施當時正在分批次推送。偏偏那兩臺倒霉的員工電腦還沒輪到更新配置，結果就在下載惡意包時中了招。

為了不讓使用者手裡的 Mac 應用瞬間癱瘓，OpenAI 沒有立即吊銷證書，而是先跟 Apple 配合卡死了舊證書的新公證流程，以此鎖死駭客用偷來的舊鑰匙做偽裝的可能，給使用者留出了近一個半月的升級緩衝期。

為什麼重要

如果你是 Mac 使用者，現在最實在的動作就是開啟 ChatGPT 或 Codex 檢查更新，確保在 6 月 26 日前升級到最新版，而且千萬不要通過第三方網站或聊天軟體裡傳過來的安裝包去更新。

這件事對安全行業的觸動更大。即便強如頂尖 AI 實驗室，在錯綜複雜的現代開源依賴網路面前同樣脆弱。駭客根本不用硬啃你防守最嚴密的雲端叢集，只要向上遊開源生態下毒，就能直接繞過外圍防線。

我們認為，OpenAI 這次的事後應對相當老練。他們沒有一拍腦袋立即吊銷證書導致全球 Mac 使用者大面積閃退報錯，而是先截斷 Apple 端的公證通道，再聯合平臺方監控異常，把事故震盪壓到了最低。

但看起來有些諷刺的是，安全防線的推進哪怕只慢了半拍，灰度覆蓋留下的空窗期就會成為致命缺口。大廠的終端防禦策略只要沒做到百分之百同步，木桶最短的那塊板子隨時會被外部依賴擊穿。