OpenAI victime d'une attaque de la chaîne d'approvisionnement ayant révélé des certificats de signature, toutes les applications macOS devront être mises à jour obligatoirement le mois prochain

robot
Création du résumé en cours
ME News Actualités, le 15 mai (UTC+8), selon la surveillance de Beating, OpenAI a confirmé que son environnement interne avait été victime d'une attaque malveillante sur la chaîne d'approvisionnement de packages NPM ciblant TanStack, deux appareils d'employés ayant été infectés. Bien que les données utilisateur et le code principal n'aient pas été affectés, les hackers ont dérobé certains accès aux dépôts de code internes, y compris des certificats de signature de code pour les produits iOS, macOS et Windows.
Pour prévenir l'utilisation de ces certificats volés pour publier des applications falsifiées, OpenAI a annoncé un renouvellement défensif des certificats, et a fixé une date limite stricte de mise à jour sur la plateforme macOS. Tous les utilisateurs de ChatGPT desktop, Codex, et du navigateur Atlas sur macOS doivent mettre à jour vers la dernière version avant le 12 juin 2026, date à laquelle les anciens certificats seront complètement révoqués, et un mécanisme de sécurité bloquera le lancement et l'installation de versions obsolètes.
Cette attaque a coïncidé avec la période de mise à niveau de la sécurité interne d'OpenAI. La société a admis qu'elle avait déjà déployé une stratégie de filtrage de packages plus stricte, mais que deux appareils d'employés infectés n'avaient pas encore été synchronisés avec la dernière configuration, permettant aux composants malveillants de profiter de cette faille.
Concernant la gestion des suites, étant donné que le mécanisme système de macOS d'Apple bloque par défaut les nouvelles applications falsifiées avec des certificats volés, OpenAI a choisi de laisser une période de tampon d'environ un mois pour la mise à jour, afin d'éviter une révocation immédiate des certificats qui pourrait couper la connexion pour tous les anciens utilisateurs.
Actuellement, les clients iOS et Windows ne sont pas affectés, et les données sensibles telles que les mots de passe de comptes et les clés API ont été confirmées comme sécurisées.
(Source : BlockBeats)
Voir l'original
Cette page peut inclure du contenu de tiers fourni à des fins d'information uniquement. Gate ne garantit ni l'exactitude ni la validité de ces contenus, n’endosse pas les opinions exprimées, et ne fournit aucun conseil financier ou professionnel à travers ces informations. Voir la section Avertissement pour plus de détails.
  • Récompense
  • 5
  • 9
  • Partager
Commentaire
Ajouter un commentaire
Ajouter un commentaire
GasFeeGrump
· Il y a 3h
Deux appareils infectés peuvent voler le certificat de signature, comment est la isolation du réseau interne ?
Voir l'originalRépondre0
AirdropCheck-InOfficer
· Il y a 4h
La sécurité des clés est une sorte de malheur évité, sinon les clés API voleraient partout.
Voir l'originalRépondre0
ShatteredGlaze
· Il y a 5h
He a réussi à ne pas perdre les données essentielles, sinon la fuite des poids du modèle d'OpenAI aurait été catastrophique.
Voir l'originalRépondre0
DrinkWaterBeforeTheMarket
· Il y a 7h
Les justificatifs internes ont été volés... Combien de systèmes faut-il encore vérifier par la suite ?
Voir l'originalRépondre0
MirrorBallPeeking
· Il y a 7h
Les certificats de signature de code sont risqués à manipuler, les attaquants ont de grandes ambitions
Voir l'originalRépondre0
  • Épinglé