Axios供應鏈攻擊後遺症：明天起OpenAI舊版Mac應用全部失效

OpenAI 的 macOS 簽名證書將於明天（5 月 8 日）正式吊銷。屆時未更新的 ChatGPT Desktop、Codex、Codex CLI 和 Atlas 舊版將無法啟動，也不再收到更新。使用 Mac 版的使用者現在就應進行更新，通過應用內更新或前往 OpenAI 官網下載即可。 此次事件源於 3 月 31 日的一次 npm 供應鏈攻擊。Axios，一個每週下載量超 7000 萬的 JavaScript HTTP 庫，被攻擊者用竊取的維護者賬號釋出了兩個惡意版本（1.14.1 和 0.30.4）。惡意版本注入了一個名為 plain-crypto-js 的假依賴，安裝時會自動下載遠端訪問木馬（RAT），覆蓋 macOS、Windows 和 Linux 三個平臺。微軟將這次攻擊歸因於朝鮮黑客組織 Sapphire Sleet。 OpenAI 的 GitHub Actions 工作流在構建 macOS 應用時自動拉取了惡意版本，而該工作流具備訪問應用簽名證書的許可權。OpenAI 分析認為證書大概率未被成功竊取，但出於安全考慮按洩露處理，已輪換證書並與 Apple 合作封堵舊證書的公證通道。目前沒有發現使用者資料洩露、系統入侵或軟體被篡改的證據，密碼和 API key 也不受影響。 此次事故的根因在於工作流配置問題：引用依賴時使用了浮動版本標籤而非固定 commit hash，且未設定 minimumReleaseAge（新包釋出後的冷卻期），導致惡意版本一上線就被自動拉入構建。 [動察 Beating]