OpenAI Gia Cố Hạ Tầng Sau Vụ Tấn Công Chuỗi Cung Ứng TanStack

Phản ứng quyết liệt trước sự cố "Mini Shai-Hulud"

OpenAI gần đây đã xác định một vấn đề bảo mật phát sinh từ việc xâm nhập vào thư viện mã nguồn mở phổ biến TanStack npm. Sự cố này nằm trong một chiến dịch tấn công chuỗi cung ứng phần mềm quy mô lớn mang tên "Mini Shai-Hulud". Công ty khẳng định rằng mặc dù có hai thiết bị của nhân viên bị ảnh hưởng, nhưng không có bằng chứng nào cho thấy dữ liệu người dùng, hệ thống sản xuất hoặc sở hữu trí tuệ bị xâm phạm.

Sự chuyển dịch sang thế chủ động

Ngay sau khi phát hiện việc trích xuất một số tài liệu xác thực từ các kho lưu trữ mã nguồn nội bộ, OpenAI đã lập tức cô lập hệ thống, thu hồi các phiên hoạt động và thay đổi toàn bộ thông tin xác thực bị ảnh hưởng. Một phần quan trọng trong quá trình khắc phục này là việc thay đổi chứng chỉ ký mã (code-signing certificates) cho các ứng dụng trên macOS, Windows và iOS.

Sự cố này phản ánh một bước tiến mới trong bối cảnh đe dọa an ninh mạng, nơi những kẻ tấn công ngày càng nhắm vào các thành phần phụ thuộc phần mềm dùng chung và công cụ phát triển. Do đó, OpenAI đã đẩy nhanh việc triển khai các biện pháp kiểm soát an ninh tiên tiến, bao gồm:

• Gia cố quy trình CI/CD: Thắt chặt quản lý các tài liệu xác thực nhạy cảm trong hệ thống tích hợp và triển khai liên tục.
• Xác thực nguồn gốc gói phần mềm: Triển khai các cấu hình như minimumReleaseAge để kiểm tra tính toàn vẹn của các gói phần mềm mới.
• Bảo mật cấp độ hệ sinh thái: Đầu tư vào các công cụ xác thực nguồn gốc của các thành phần bên thứ ba nhằm ngăn ngừa các rủi ro chuỗi cung ứng trong tương lai.

Hành động bắt buộc đối với người dùng macOS

Để duy trì tính toàn vẹn của phần mềm, OpenAI sẽ thu hồi chứng chỉ ký mã cũ vào ngày 12 tháng 6 năm 2026. Sau thời hạn này, các phiên bản cũ của ứng dụng trên macOS — bao gồm ChatGPT Desktop, Codex App, Codex CLI và Atlas — sẽ ngừng hoạt động. Người dùng được khuyến cáo chỉ cập nhật thông qua giao diện ứng dụng chính thức hoặc các liên kết trực tiếp từ website của OpenAI để tránh các phần mềm giả mạo.

Nguồn: Phản hồi bảo mật từ OpenAI