OpenAI تنفي تعرض بيانات المستخدمين من TanStack npm، هجوم سلسلة التوريد Mini Shai-Hulud
- أكدت OpenAI أن جهازين تابعين للموظفين تعرضوا للاختراق، لكنها لم تجد أي دليل على وصول أو سرقة بيانات المستخدمين أو الأنظمة الإنتاجية أو الملكية الفكرية.
- استغلت حملة "Mini Shai-Hulud" نقاط ضعف في GitHub Actions لنشر 84 حزمة برمجية خبيثة عبر 42 مكتبة من مكتبات TanStack.
- بينما تظل تطبيقات Windows وiOS آمنة، تقوم OpenAI بتدوير شهادات توقيع الشفرة البرمجية.
أقرت OpenAI بأن جهازين للموظفين تم اختراقهما من خلال إصدارات ضارة من حزم TanStack npm.
تصر الشركة على أنه لم يتم العثور على أي دليل على أن بيانات المستخدمين أو أنظمة الإنتاج أو الملكية الفكرية تم العبث بها.
هل تم اختراق OpenAI؟
OpenAI Ajna أن عناصر خبيثة اخترقت جهازين لموظفيها كجزء من حملة ضخمة لسلسلة البرمجيات تسمى «Mini Shai-Hulud».
نشرت OpenAI سابقًا ضوابط للحد من تعرض هجمات سلسلة التوريد بعد حادثة مع Axios، لكن جهازين للموظفين المتأثرين لم يتلقا بعد التكوينات المحدثة التي كانت ستحظر تنزيل الحزمة الخبيثة.
استهدف الهجوم TanStack، وهي مكتبة مفتوحة المصدر يستخدمها ملايين المطورين. نشر المهاجمون 84 إصدارًا خبيثًا عبر 42 حزمة npm، بما في ذلك @tanstack/reactstack/react-router الشهير، الذي يتم تنزيله أكثر من 12 مليون مرة أسبوعيًا.
كشف باحث خارجي يعمل لدى StepSecurity عن الحزم الخبيثة خلال حوالي 20 دقيقة من النشر وأبلغ مباشرة عن أمن npm.
استغل هذا الهجوم الثقة التي يضعها المستخدمون في أنظمة البناء الآلية. تم نشر الكود الخبيث باستخدام مفاتيح النشر الشرعية الخاصة بـ TanStack، مما جعله يبدو كتحديث رسمي.
Mini Shai-Hulud هو فيروس ذاتي التكاثر يسرق بيانات الاعتماد مثل رموز GitHub ومفاتيح السحابة ومفاتيح SSH بمجرد تثبيتها من قبل مطور أو نظام CI/CD. يحاول الفيروس بعد ذلك إعادة النشر إلى حزم أخرى يديرها الضحية.
أبلغ باحثو الأمن عن أن الحملة اخترقت حزمًا عبر بيئتي npm وPyPI. بالإضافة إلى تضع OpenAI وTanStack، تأثر الهجوم بالرموز التابعة لـ Mistral AI وUiPath (NYSE: PATH) وOpenSearch وGuardrails AI.
يلاحظ الباحثون أن الحمولة تثبت ديمونًا دائمًا يعمل كمفتاح «الرجل الميت». إذا قام الضحية بإلغاء رمز GitHub المسروق، يمكن للفيروس تشغيل أمر لمسح دليل المستخدم المنزلي.
هل تم اختراق بيانات مستخدم OpenAI؟
بعد الهجوم، استعانت OpenAI بشركة تحقيق خارجية للمساعدة في التحقيق. قالت الشركة إنها لم تجد أي دليل على أن بيانات المستخدمين تم الوصول إليها أو أن أنظمة الإنتاج أو الملكية الفكرية أو البرمجيات تم اختراقها.
ومع ذلك، تمكن المهاجمون من استخراج بعض مواد بيانات الاعتماد من مستودعات الكود الداخلي التي كان لهذه الأجهزة إمكانية الوصول إليها. وشمل ذلك شهادات توقيع الكود لتطبيقات macOS.
الآن، يجب على مستخدمي Mac تحديث تطبيقات ChatGPT Desktop وCodex وAtlas الخاصة بهم في موعد أقصاه 12 يونيو 2026، أو سيتم حظر البرنامج بواسطة حماية أمان macOS.
تضع OpenAI قالت إنه لم تجد أي دليل على برمجيات خبيثة موقعة بشهاداتها ولا أي تعديلات غير مصرح بها على التطبيقات المنشورة.
لاحظت الشركة أن التوثيق الجديد بشهادات قديمة تم حظره بالفعل، مما يعني أن أي تطبيق احتيالي يحاول استخدامها سيفتقر إلى توثيق Apple وسيتم إيقافه بواسطة حماية أمان macOS بشكل افتراضي.
أذكى العقول في عالم العملات الرقمية يقرأون بالفعل نشرتنا الإخبارية. هل تريد الانضمام؟ انضم إليهم.
الأسئلة الشائعة
هل تم تسريب بيانات المستخدمين أو معلومات العملاء لدى OpenAI نتيجة هجوم TanStack؟
لا. ذكرت OpenAI أنها لم تجد أي دليل على وصول إلى بيانات المستخدمين، أو اختراق الأنظمة الإنتاجية، أو تعديل أي برنامج تم نشره.
هل يحتاج مستخدمو OpenAI إلى تغيير كلمات المرور أو مفاتيح API الخاصة بهم؟
أفادت OpenAI بأن كلمات مرور العملاء ومفاتيح API لم تتأثر. ومع ذلك، يجب على مستخدمي macOS تحديث تطبيقات سطح المكتب التابعة لـ OpenAI (ChatGPT Desktop، وCodex App، وCodex CLI، وAtlas) بحلول 12 يونيو 2026، عندما سيتم إلغاء سريان الشهادات القديمة للتوقيع.
كيف عمل هجوم سلسلة التوريد على npm الخاص بـ TanStack؟
استغل مهاجم ثغرات في سير عمل GitHub Actions لتسميم ذاكرة التخزين المؤقت لعمليات التكامل المستمر/النشر المستمر (CI/CD) في مستودع TanStack Router، ثم استخدم هذا الوصول لنشر 84 إصدارًا ضارًا عبر 42 مكتبة من مكتبات TanStack، والتي سرقت بيانات اعتماد المطورين أثناء عملية التثبيت، وذلك وفقًا للتقرير التفصيلي الذي نشرته TanStack.
هانا كولي مور
هانا كاتبة ومحرّرة تمتلك خبرة تمتد لأكثر من عقد في كتابة المدونات وتغطية الفعاليات في مجال العملات الرقمية. في موقع كريبتوبوليتان، تساهم هانا في صفحة الأخبار من خلال تغطية وتحليل أحدث التطورات في مجالات التمويل اللامركزي (DeFi)، والأصول الواقعية (RWA)، وتنظيم العملات الرقمية، والذكاء الاصطناعي، وتقنيات الحدود الجديدة. تخرجت هانا من جامعة أركاديا بدرجة البكالوريوس في إدارة الأعمال.
