OpenAI 對 Axios 開發者工具妥協的回應
OpenAI 已在第三方開發者函式庫 Axios 發生供應鏈攻擊後，輪換其 macOS 程式碼簽署憑證。雖然 OpenAI 未發現使用者資料被存取或其系統受到入侵的證據，但公司正主動撤銷受影響的憑證，以防止未授權的第三方以合法的 OpenAI 應用程式簽署惡意軟體。
事件概述與根本原因
2026 年 3 月 31 日（UTC），Axios 函式庫（版本 1.14.1）遭到入侵，導致軟體供應鏈攻擊。OpenAI 用於 macOS 應用程式簽署的 GitHub Actions 工作流程下載並執行了此惡意版本的函式庫。
技術根本原因
此事件是由 GitHub Actions 工作流程的錯誤設定所致。具體而言，該工作流程：
- 使用了浮動標籤（floating tag）而非特定的提交雜湊（commit hash）作為相依性。
- 未為新套件設定
minimumReleaseAge。
對 macOS 應用程式的影響
受影響的工作流程取得了用於簽署多個 macOS 應用程式的憑證與公證材料，向使用者保證軟體來源於 OpenAI。受影響的產品包括：
- ChatGPT Desktop
- Codex
- Codex-cli
- Atlas
OpenAI 的分析顯示，簽署憑證可能因為 Payload 執行時機、工作順序以及憑證注入方式的關係，未被成功外洩。然而，公司仍將此憑證視為已受妥協，採取預防性措施。
修復措施與時間表
OpenAI 已委託第三方數位鑑識與事件回應公司驗證其系統，並以新憑證發布所有受影響 macOS 產品的新版。
主要截止日期與版本需求
自 2026 年 5 月 8 日 起，較舊版本的 macOS 桌面應用程式將不再受支援、無法取得更新，且可能無法正常運作。為維持功能，使用者必須升級至至少以下版本：
| 應用程式 | 最低需求版本 |
|---|---|
| ChatGPT Desktop | 1.2026.051 |
| Codex App | 26.406.40811 |
| Codex CLI | 0.119.0 |
| Atlas | 1.2026.84.2 |
憑證撤銷策略
OpenAI 正在實施分階段撤銷，以降低使用者中斷：
- 立即行動：OpenAI 與 Apple 合作，阻止使用舊憑證的新版軟體公證。此舉確保任何使用舊憑證簽署的欺詐應用程式預設被 macOS 安全防護阻擋。
- 寬限期：提供 30 天的時間讓使用者透過內建機制更新軟體。
- 全面撤銷：於 2026 年 5 月 8 日，憑證將被完全撤銷，macOS 將阻止下載及首次啟動使用先前憑證簽署的應用程式。
安全驗證
OpenAI 已確認以下關於事件範圍的資訊：
- 使用者資料：未發現 OpenAI 使用者資料被存取或外洩的證據。
- 智慧財產：未發現 OpenAI 系統或智慧財產被妥協的證據。
- 軟體完整性：未發現已發布的軟體被更改，或可能外洩的公證材料被濫用的證據。
- 帳號安全：密碼與 OpenAI API 金鑰未受影響。
- 平台範圍：此事件僅限於 macOS 應用程式；iOS、Android、Linux、Windows 與 Web 版的 OpenAI 軟體均未受影響。