Við greindum nýlega öryggisatvik sem tengdist algengu opnu hugbúnaðarsafni, TanStack npm, sem var hluti af víðtækari árás sem kallast Mini Shai-Hulud(opnast í nýjum glugga). Við fundum engin merki um að aðgangur hefði fengist að notendagögnum OpenAI, að framleiðslukerfi okkar eða hugverkaréttindi hefðu verið í hættu, eða að hugbúnaði okkar hefði verið breytt.
Við höfum gripið til afgerandi ráðstafana til að vernda notendagögn okkar, kerfi og hugverkaréttindi. Sem hluti af viðbrögðum okkar erum við að grípa til aðgerða til að vernda ferlið sem staðfestir að macOS-forritin okkar séu lögmæt OpenAI forrit.
Uppfærðu macOS forritin þín fyrir 12. júní 2026
Við erum að uppfæra öryggisskírteinin okkar, sem krefst þess að allir macOS notendur uppfæri OpenAI forritin sín í nýjustu útgáfur. Þetta hjálpar til við að koma í veg fyrir alla áhættu hversu ólíkleg sem hún er af því að einhver reyni að dreifa fölsuðu forriti sem lítur út fyrir að vera frá OpenAI. Þú getur uppfært á öruggan hátt í gegnum uppfærslu innan forrits eða á opinberu tenglunum hér að neðan:
Öryggi og persónuvernd upplýsinga þinna eru í algjörum forgangi. Við erum staðráðin í að vera gagnsæ og bregðast hratt við þegar vandamál koma upp. Hér að neðan deilum við frekari tæknilegum upplýsingum og algengum spurningum.
Þann 11. maí 2026 UTC var TanStack, mikið notað opið hugbúnaðarsafn, fyrir hættu sem hluti af víðtækari árás á hugbúnaðarkeðjuna sem kallast Mini Shai-Hulud(opnast í nýjum glugga).
Tvö tæki starfsmanna í fyrirtækjaumhverfi okkar urðu fyrir áhrifum af þessari árás. Þegar við greindum skaðlega virknina unnum við hratt að því að rannsaka hana, hefta hana og grípa til aðgerða til að vernda kerfin okkar. Sem hluti af rannsókn og viðbrögðum fengum við utanaðkomandi sérfræðifyrirtæki í stafrænum réttarrannsóknum og viðbrögðum við öryggisatvikum til liðs við okkur.
Við sáum virkni sem samræmdist opinberlega lýstri hegðun spilliforritsins, þar á meðal óheimilan aðgang og útflutning gagna sem beindist að aðgangsupplýsingum, í takmörkuðum hluta innri frumkóðageymslna sem starfsmennirnir tveir höfðu aðgang að. Við staðfestum að aðeins takmarkað efni tengt aðgangsupplýsingum var flutt út úr þessum kóðageymslum og að engar aðrar upplýsingar eða kóði urðu fyrir áhrifum.
Við brugðumst strax við til að hefta virknina. Við einangruðum kerfi og auðkenni sem urðu fyrir áhrifum, afturkölluðum notendalotur, endurnýjuðum öll aðgangsgögn í geymslum sem urðu fyrir áhrifum, takmörkuðum tímabundið verkferla fyrir kóðadreifingu og skoðuðum notenda- og aðgangshegðun ítarlega. Sem hluti af rannsókn okkar höfum við ekki séð nein merki um áhrif á gögn viðskiptavina eða hugverkaréttindi okkar, og greining okkar hefur ekki bent til misnotkunar á aðgangsgögnum sem urðu fyrir áhrifum eða áframhaldandi aðgangs af hálfu árásaraðilans.
Frumkóðageymslurnar sem urðu fyrir áhrifum innihéldu undirritunarskírteini fyrir vörur okkar, þar á meðal iOS, macOS og Windows. Þess vegna erum við að endurnýja kóðaundirritunarskírteini sem varúðarráðstöfun, sem mun krefjast þess að macOS notendur uppfæri forritin sín. Notendur Windows- og iOS-forrita þurfa ekki að gera neitt. Frekari leiðbeiningar verða veittar macOS notendum um þessar nauðsynlegu uppfærslur.
Auk þess að endurnýja skírteini erum við í samvinnu við vettvangsaðila til að koma í veg fyrir óheimila notkun þessara skírteina með því að stöðva nýjar staðfestingar. Við höfum einnig farið yfir allar staðfestingar hugbúnaðar sem notaði eldri skírteini okkar til að staðfesta að engin óvænt undirritun hugbúnaðar hafi átt sér stað með þessum lyklum, og staðfest að birtum hugbúnaði okkar hafi ekki verið breytt án heimildar. Við höfum ekki fundið nein merki um málamiðlun eða áhættu fyrir núverandi hugbúnaðaruppsetningar.
Þegar við afturköllum skírteinið okkar að fullu 12. júní 2026 verða ný niðurhöl og ræsingar forrita sem eru undirrituð með eldra skírteininu stöðvuð af öryggisvörnum macOS.
Eftir Axios-atvikið flýttum við innleiðingu tiltekinna öryggisvarna og tækni til að draga úr áhrifum árása á hugbúnaðarkeðjuna eins og þessarar. Öryggisviðbrögð okkar fólu meðal annars í sér frekari herðingu á viðkvæmum aðgangsgögnum sem notuð eru í CI/CD ferli okkar, innleiðingu á stillingum pakkastjóra með vörnum eins og minimumReleaseAge og viðbótaröryggishugbúnað til að sannreyna uppruna nýrra pakka.
Þetta atvik átti sér stað meðan á stigskiptri innleiðingu og útbreiðslu þessara varna stóð, og tækin tvö sem urðu fyrir áhrifum voru ekki með uppfærðar stillingar sem hefðu komið í veg fyrir niðurhal á nýlega greindum pakka sem innihélt spilliforrit.
Þetta atvik endurspeglar víðtækari breytingu í ógnarumhverfinu: árásaraðilar beina í auknum mæli sjónum að sameiginlegum hugbúnaðarháðum og þróunarverkfærum fremur en einu tilteknu fyrirtæki. Nútímahugbúnaður er byggður á djúpt samtengdu vistkerfi opinna hugbúnaðarsafna, pakkastjóra og innviða fyrir samfellda samþættingu og samfellda dreifingu, sem þýðir að veikleiki sem kemur inn ofar í keðjunni getur breiðst víða og hratt milli stofnana. Við höldum áfram að fjárfesta í vörnum sem sannreyna heilleika og uppruna íhluta frá þriðju aðilum og að styrkja varnir okkar gegn slíkum vistkerfisárásum á hugbúnaðarkeðjuna.
Urðu vörur OpenAI eða notendagögn fyrir málamiðlun?
Nei. Við höfum ekki fundið nein merki um að vörur OpenAI eða notendagögn hafi orðið fyrir málamiðlun eða verið afhjúpuð.
Hafið þið séð spilliforrit undirritað sem OpenAI?
Nei. Við höfum ekki fundið nein merki um að skaðlegur hugbúnaður hafi verið undirritaður með neinu af skírteinum OpenAI.
Þarf ég að breyta lykilorðinu mínu?
Nei. Lykilorð viðskiptavina/notenda og API lyklar urðu ekki fyrir áhrifum.
Hvaða vettvanga hefur þetta áhrif á?
Undirritunarlyklar okkar fyrir Windows, macOS, iOS og Android urðu fyrir áhrifum. Öll forritin okkar eru nú undirrituð á ný og gefin út með nýjum skírteinum. macOS notendur þurfa að grípa til aðgerða til að uppfæra fyrir 12. júní 2026 svo forritin haldi áfram að virka.
Af hverju eruð þið að biðja mig um að uppfæra Mac forritin mín?
Uppfærsla tryggir að þú sért að keyra útgáfur sem eru undirritaðar með nýjasta skírteininu okkar. Þetta skírteini hjálpar viðskiptavinum að vita að hugbúnaðurinn kemur frá lögmætum þróunaraðila, OpenAI.
Hvaðan sæki ég uppfærð macOS forrit?
Sæktu OpenAI forrit aðeins í gegnum uppfærslur innan forrits eða af opinberu vefsíðunum hér að neðan:
Ekki setja upp forrit úr tenglum í tölvupósti, skilaboðum, auglýsingum eða niðurhalssíðum þriðju aðila. Vertu á varðbergi gagnvart óvæntum uppsetningarforritum merktum „OpenAI“, „ChatGPT“ eða „Codex“ sem berast með tölvupósti, textaskilaboðum, spjallskilaboðum, auglýsingum, skráadeilingartenglum eða niðurhalssíðum þriðju aðila.
Hvað gerist eftir 12. júní 2026?
Frá og með 12. júní 2026 munu eldri útgáfur af macOS skjáborðsforritunum okkar ekki lengur fá uppfærslur eða stuðning og gætu hætt að virka. Þessar útgáfur eru síðustu útgáfurnar sem voru undirritaðar með úreltu skírteininu okkar:
- ChatGPT skjáborðsforrit: 1.2026.118
- Codex app: 26.506.31421
- Codex CLI: 0.130.0
- Atlas: 1.2026.119.1
Af hverju afturkallið þið ekki skírteinið strax?
Við höfum unnið að því að stöðva allar frekari staðfestingar á macOS forritum með því staðfestingarefni sem varð fyrir áhrifum. Þetta þýðir að öll svikaforrit sem þykjast vera OpenAI forrit og nota skírteinið sem varð fyrir áhrifum munu skorta staðfestingu og verða því sjálfkrafa stöðvuð af öryggisvörnum macOS nema notandi fari sérstaklega fram hjá þeim vörnum. Þar sem ný staðfesting með eldra skírteininu er stöðvuð, og þar sem afturköllunin gæti valdið því að macOS stöðvi ný niðurhöl og fyrstu ræsingar forrita sem eru undirrituð með eldra skírteininu, gefum við notendum okkar frest til 12. júní 2026 til að uppfæra til að lágmarka truflun. Þessi gluggi mun hjálpa til við að lágmarka áhættu fyrir notendur og gera viðskiptavinum sem urðu fyrir áhrifum kleift að uppfæra í gegnum innbyggð uppfærslukerfi, þannig að úrlausn verði rétt framkvæmd. Við vinnum með samstarfsaðilum okkar að því að fylgjast með vísbendingum um misnotkun á undirritunarskírteininu og munum flýta tímalínu afturköllunar ef við greinum skaðlega virkni á þessu tímabili.
