OpenAI dementiert die Offenlegung von Nutzerdaten durch TanStack npm und den Lieferkettenangriff von Mini Shai-Hulud

OpenAI hat zugegeben, dass zwei Mitarbeitergeräte durch manipulierte Versionen von TanStack npm-Paketen kompromittiert wurden.

Das Unternehmen beteuert, dass keinerlei Beweise dafür gefunden wurden, dass Benutzerdaten, Produktionssysteme oder geistiges Eigentum manipuliert wurden.

Wurde OpenAI gehackt?

OpenAI hat bestätigt , dass Angreifer im Rahmen einer groß angelegten Kampagne entlang der Software-Lieferkette mit dem Namen „Mini Shai-Hulud“ in zwei Mitarbeitergeräte eingedrungen sind.

OpenAI hatte zuvor nach einemdent mit Axios Kontrollmechanismen eingesetzt, um die Gefährdung durch Angriffe auf die Lieferkette einzuschränken. Allerdings hatten die beiden betroffenen Mitarbeitergeräte noch nicht die aktualisierten Konfigurationen erhalten, die den Download des schädlichen Pakets verhindert hätten.

Der Angriff zielte auf TanStack, eine Open-Source-Bibliothek, die von Millionen von Entwicklern genutzt wird. Die Angreifer veröffentlichten 84 schädliche Versionen in 42 npm-Paketen, darunter das beliebte Paket @tanstack/react-router, das wöchentlich über 12 Millionen Mal heruntergeladen wird.

Ein externer Forscher, der für StepSecurity arbeitet, entdeckte die schädlichen Pakete innerhalb von etwa 20 Minuten nach der Veröffentlichung und benachrichtigte direkt die npm-Sicherheit.

Dieser Angriff nutzte das Vertrauen der Nutzer in automatisierte Build-Systeme aus. Der Schadcode wurde mit den legitimen Veröffentlichungsschlüsseln von TanStack veröffentlicht, sodass er wie ein offizielles Update aussah.

Mini Shai-Hulud ist eine sich selbst reproduzierende Schadsoftware, diedentwie GitHub-Tokens, Cloud-Schlüssel und SSH-Schlüssel stiehlt, sobald sie von einem Entwickler oder einem CI/CD-System installiert wird. Anschließend versucht die Schadsoftware, sich in anderen Paketen des Opfers zu verbreiten.

Sicherheitsforscher berichten, dass die Kampagne Pakete im gesamten npm- und PyPI-Ökosystem kompromittiert hat. Neben OpenAI und TanStack sind auch Code von Mistral AI, UiPath (NYSE: PATH), OpenSearch und Guardrails AI betroffen.

Forscher weisen darauf hin, dass die Schadsoftware einen permanenten Daemon installiert, der als „Totmannschalter“ fungiert. Wenn ein Opfer ein gestohlenes GitHub-Token widerruft, kann die Schadsoftware einen Befehl auslösen, der das Home-Verzeichnis des Benutzers löscht.

Wurden die Nutzerdaten von OpenAI kompromittiert? 

Nach dem Angriff beauftragte OpenAI ein externes IT-Forensikunternehmen mit der Untersuchung. Das Unternehmen gab an, keine Hinweise darauf gefunden zu haben, dass auf Nutzerdaten zugegriffen oder Produktionssysteme, geistiges Eigentum oder Software kompromittiert wurden.

Den Angreifern gelang es jedoch, einigedentaus internen Code-Repositories zutrac, auf die diese Geräte Zugriff hatten. Dazu gehörten auch Codesignaturzertifikate für macOS-Apps.

Mac-Benutzer müssen ihre ChatGPT Desktop-, Codex- und Atlas-Apps spätestens bis zum 12. Juni 2026 aktualisieren, andernfalls wird die Software durch die Sicherheitsvorkehrungen von macOS blockiert.

OpenAI erklärte, es habe keine Hinweise auf Schadsoftware gefunden, die mit seinen Zertifikaten signiert sei, und keine unautorisierten Änderungen an veröffentlichten Anwendungen.

Das Unternehmen wies darauf hin, dass eine neue Beglaubigung mit den alten Zertifikaten bereits blockiert sei, was bedeutet, dass jede betrügerische App, die versucht, diese zu verwenden, nicht über die Beglaubigung von Apple verfügen und standardmäßig von den Sicherheitsvorkehrungen von macOS gestoppt werden würde.