新聞

OpenAI昨日表示自己也受到NPM套件Axios供應鏈攻擊影響，不過沒有客戶或自家系統、智財外洩。該公司也更新了macOS憑證，要求Mac用戶在5月8日前儘速升級App。

3月31日受歡迎的第三方套件Axios遭駭客利用維護者憑證發布有問題的1.14.1與0.30.4版，開發人員一旦下載安裝，電腦可能被植入RAT木馬等惡意程式。那時OpenAI用於簽發macOS應用程式的GitHub Actions工作流程就下載了1.14.1版Axios。這個工作流程具有存取簽發macOS版OpenAI程式必要的憑證和公證資料。這些憑證目的在讓使用者確認App是真實來自OpenAI的App。涉及的OpenAI App包括macOS版ChatGPT Desktop、Codex、Codex-cli和Atlas。

OpenAI說已經偕同外部數位鑑識及資安事件回應業者合作啟動調查，並且輪換macOS App簽章憑證、並且以新憑證更新App，再上架到蘋果App Store。OpenAI分析，從惡意程式執行、憑證注入驗證過程、以及驗證序列及其他因素時間點來看，簽發憑證應該沒有外洩也沒有被濫用情形。但是為保險起見，OpenAI已開始註銷和輪換憑證。

自2026年5月8日起，舊版OpenAI macOS桌面版應用程式將不再提供更新與支援，且可能無法正常運作。OpenAI表示，使用者需升級至以下版本或更新版本，這些版本為採用新憑證簽署的最早版本，包括ChatGPT Desktop 1.2026.051、Codex App 26.406.40811、Codex CLI 0.119.0，以及Atlas 1.2026.84.2。

用戶可以從macOS App的程式內更新或官網下載到最新版本App。OpenAI呼籲用戶不可從任何電子郵件、訊息、廣告或第三方網站下載，以免安裝假的App。

此外OpenAI也檢視所有以舊憑證簽發的所有軟體版本確保沒有遭到惡意修改。目前該公司沒有發現現有軟體可能或已經遭到惡意修改。OpenAI並重申，這次事件只影響OpenAI macOS App，Web版並不受影響。