Компания OpenAI официально подтвердила обнаружение проблемы безопасности, затронувшей пользователей десктопного приложения для macOS. Инцидент связан с использованием сторонней библиотеки Axios, которая подверглась компрометации в ходе целенаправленной атаки на цепочку поставок программного обеспечения. Несмотря на серьезность ситуации, представители компании заявляют о отсутствии прямых доказательств утечки конфиденциальных данных пользователей или кражи интеллектуальной собственности.
Детали атаки на цепочку поставок
Согласно внутреннему расследованию, вредоносный код был внедрен в библиотеку Axios 31 марта. Предполагается, что за инцидентом стоят хакерские группировки, имеющие связи с Северной Кореей. Уязвимость была реализована через рабочий процесс GitHub Actions, в результате чего автоматизированные системы OpenAI непреднамеренно загрузили и исполнили скомпрометированную версию инструмента.
Ключевые аспекты выявленной угрозы включают:
- Использование вредоносного кода в популярной HTTP-библиотеке для JavaScript.
- Компрометация автоматизированных процессов сборки ПО.
- Потенциальный риск исполнения произвольного кода в среде разработки.
Меры безопасности и рекомендации для пользователей
В ответ на выявленную угрозу OpenAI оперативно обновила протоколы безопасности и выпустила патч для своего программного обеспечения. Компания настаивает на том, чтобы все пользователи macOS в кратчайшие сроки обновили официальное приложение ChatGPT до последней доступной версии. Это позволит исключить наличие уязвимых компонентов в локальной среде.
На данный момент нет доказательств компрометации систем OpenAI или несанкционированного изменения исходного кода наших продуктов — отмечается в официальном заявлении компании.
Текущая ситуация и перспективы
Инцидент подчеркивает растущую уязвимость современных технологических гигантов перед атаками на Open Source зависимости. Хотя OpenAI удалось локализовать проблему до того, как она привела к подтвержденному ущербу, ситуация требует усиления контроля над сторонними инструментами. В дальнейшем компания планирует ужесточить мониторинг рабочих процессов в GitHub Actions и внедрить дополнительные уровни верификации для используемых библиотек, чтобы минимизировать риски повторения подобных сценариев в будущем.