Hậu quả của cuộc tấn công chuỗi cung ứng Axios: Từ ngày mai, tất cả các ứng dụng Mac cũ của OpenAI sẽ không hoạt động nữa

Thông tin từ Coin界网, Axios đưa tin, do cuộc tấn công chuỗi cung ứng, chứng chỉ ký macOS của OpenAI sẽ chính thức bị thu hồi vào ngày mai (8 tháng 5), khi đó các phiên bản cũ của ChatGPT Desktop, Codex, Codex CLI và Atlas không cập nhật sẽ không thể khởi động. Sự kiện này bắt nguồn từ cuộc tấn công chuỗi cung ứng npm vào ngày 31 tháng 3, kẻ tấn công đã sử dụng tài khoản duy trì bị đánh cắp để phát hành hai phiên bản độc hại (1.14.1 và 0.30.4), tiêm vào phụ thuộc giả plain-crypto-js, dẫn đến việc tải xuống phần mềm điều khiển từ xa (RAT) khi cài đặt, ảnh hưởng đến các nền tảng macOS, Windows và Linux. Microsoft quy trách vụ tấn công này cho nhóm hacker Triều Tiên Sapphire Sleet. Phân tích của OpenAI cho rằng chứng chỉ không bị đánh cắp thành công, nhưng đã thay đổi chứng chỉ và hợp tác với Apple để chặn các kênh chứng thực của chứng chỉ cũ. Hiện chưa phát hiện rò rỉ dữ liệu người dùng hoặc xâm nhập hệ thống, mật khẩu và API Key cũng không bị ảnh hưởng. Nguyên nhân gốc rễ là vấn đề cấu hình quy trình làm việc, khi tham chiếu phụ thuộc đã sử dụng nhãn phiên bản linh hoạt thay vì commit hash cố định.