اوپن‌ای‌آی نقض امنیتی در حمله زنجیره تامین TanStack را تایید کرد

اوپن‌ای‌آی (OpenAI) اعلام کرد که دستگاه‌های دو تن از کارمندانش در جریان حمله زنجیره تأمین (supply chain attack) اخیر موسوم به «Mini Shai-Hulud» که صدها بسته نرم‌افزاری npm و PyPI را به خطر انداخت، نقض امنیتی شدند. این شرکت در یک اطلاعیه امنیتی اعلام کرد که این حادثه تأثیری بر داده‌های مشتریان، سیستم‌های تولیدی، مالکیت معنوی یا نرم‌افزارهای مستقر نداشته است، اما گواهی‌های امضای کد (code-signing certificates) مربوط به محصولات اوپن‌ای‌آی برای سیستم‌عامل‌های macOS، Windows، iOS و Android در معرض خطر قرار گرفتند. این شرکت به‌عنوان احتیاط اقدام به تعویض این گواهی‌ها کرده و از کاربران macOS خواسته است تا پیش از ۱۲ ژوئن ۲۰۲۶ برنامه‌های دسکتاپ خود را به‌روزرسانی کنند، در غیر این صورت به دلیل فرآیند تأیید اعتبار (notarization) اپل، این برنامه‌ها ممکن است اجرا نشوند.

این حمله بخشی از کمپین گسترده گروه اخاذی TeamPCP بود که با سوءاستفاده از ضعف‌های موجود در گردش‌کارهای GitHub Actions و زیرساخت CI/CD، بسته‌های مخرب را از طریق کانال‌های انتشار رسمی توزیع کرد. بدافزار Mini Shai-Hulud با هدف سرقت اعتبارنامه‌های (credentials) توسعه‌دهندگان و سرویس‌های ابری از جمله توکن‌های GitHub، کلیدهای AWS، اسرار Kubernetes و کلیدهای SSH طراحی شده بود و با تغییر تنظیمات Claude Code و VS Code، پایداری خود را بر روی سیستم‌های آلوده حفظ می‌کرد. اوپن‌ای‌آی این رویداد را نشانه‌ای از روند رو به رشد حملات زنجیره تأمین دانست و هشدار داد که آسیب‌پذیری‌های معرفی‌شده در بالادست اکوسیستم نرم‌افزاری می‌توانند به‌سرعت در سراسر سازمان‌ها گسترش یابند.