OpenAI victime d'une attaque de la chaîne d'approvisionnement ayant révélé des certificats de signature, toutes les applications macOS devront être mises à jour obligatoirement le mois prochain

robot
Création du résumé en cours
ME News Actualités, le 15 mai (UTC+8), selon la surveillance de Beating, OpenAI a confirmé que son environnement interne avait été victime d'une attaque malveillante sur la chaîne d'approvisionnement de packages NPM ciblant TanStack, deux appareils d'employés ayant été infectés. Bien que les données utilisateur et le code principal n'aient pas été affectés, les hackers ont dérobé certains accès aux dépôts de code internes, y compris des certificats de signature de code pour les produits iOS, macOS et Windows.
Pour prévenir l'utilisation de certificats volés par des hackers pour publier des applications falsifiées, OpenAI a annoncé un renouvellement défensif des certificats, et a fixé une date limite stricte pour la mise à jour sur la plateforme macOS.
Tous les utilisateurs de ChatGPT desktop, Codex, et du navigateur Atlas sur macOS doivent mettre à jour vers la dernière version avant le 12 juin 2026, date à laquelle les anciens certificats seront complètement révoqués, et les mécanismes de sécurité bloqueront le lancement et l'installation de versions obsolètes.
Cette attaque a coïncidé avec une période de mise à niveau de la sécurité interne d'OpenAI.
L'entreprise a admis qu'elle déployait déjà une stratégie de filtrage de packages plus stricte, mais que deux appareils d'employés infectés n'avaient pas encore été synchronisés avec la dernière configuration, permettant aux composants malveillants de profiter de cette faille.
Concernant la gestion de la situation, étant donné que le mécanisme système de macOS d'Apple bloque par défaut les nouvelles applications falsifiées avec des certificats volés, OpenAI a choisi de laisser une période de tampon d'environ un mois pour la mise à jour, afin d'éviter une révocation immédiate des certificats qui pourrait couper la connexion pour tous les anciens utilisateurs.
Actuellement, les clients iOS et Windows ne sont pas affectés, et les données sensibles telles que les mots de passe de comptes et les clés API ont été confirmées comme sécurisées.
(Source : BlockBeats)
Voir l'original
Cette page peut inclure du contenu de tiers fourni à des fins d'information uniquement. Gate ne garantit ni l'exactitude ni la validité de ces contenus, n’endosse pas les opinions exprimées, et ne fournit aucun conseil financier ou professionnel à travers ces informations. Voir la section Avertissement pour plus de détails.
  • Récompense
  • 9
  • 2
  • Partager
Commentaire
Ajouter un commentaire
Ajouter un commentaire
QuietAlphaClerk
· Il y a 16h
Ce genre d'usines de ce niveau ont été touchées par des attaques de la chaîne d'approvisionnement, les petites équipes tremblent encore plus de peur.
Voir l'originalRépondre0
FlowingColorfulInkHeart
· Il y a 18h
La révocation n'aura lieu qu'en juin 2026, la période de transition est plutôt généreuse, mais ne la prolonge pas jusqu'à la dernière semaine.
Voir l'originalRépondre0
NonceNinja
· Il y a 19h
Les attaques contre la chaîne d'approvisionnement sont difficiles à prévenir, cette responsabilité revient à l'écosystème NPM.
Voir l'originalRépondre0
SeeingTheChainThroughTheFog
· Il y a 19h
Les utilisateurs iOS et Windows sont temporairement en sécurité, macOS devient la cible principale à surveiller
Voir l'originalRépondre0
BlocktimeBarista
· Il y a 19h
Deux appareils ont obtenu des justificatifs internes, l'attaquant a quelque chose
Voir l'originalRépondre0
0xLateDinner
· Il y a 20h
Renouvellement de certificat + mise à niveau forcée, la réponse d'OpenAI est assez rapide.
Voir l'originalRépondre0
WalletEarlyAccessAlarm
· Il y a 20h
TanStack se fait tirer dessus, les développeurs doivent vraiment faire attention aux dépendances tierces
Voir l'originalRépondre0
ContrarianIndicatorMyself
· Il y a 20h
Il est fortunate que les données essentielles n'aient pas été perdues, mais il est quand même assez blessant que le certificat de signature de code ait été volé.
Voir l'originalRépondre0
GateUser-5578154d
· Il y a 20h
Les utilisateurs de macOS, notez bien la date limite du 12 juin 2026, sinon lorsque le certificat sera révoqué, vous ne pourrez plus ouvrir l'application.
Voir l'originalRépondre0
Afficher plus
  • Épinglé