OpenAI identifikovao bezbjednosni problem sa alatkom Axios

Kompanija OpenAI saopštila je da je identifikovala bezbjednosni problem koji uključuje alat za razvoj treće strane pod nazivom Axios i da preduzima korake kako bi zaštitila proces koji potvrđuje da su njene macOS aplikacije legitimne OpenAI aplikacije.

Proizvođač ChatGPT-a je naveo da nije pronašao nikakve dokaze da su podaci korisnika bili dostupni, da su njegovi sistemi ili intelektualna svojina kompromitovani, niti da je njegov softver izmijenjen. Kompanija je saopštila da ažurira svoje bezbjednosne sertifikate i zahtijeva od svih macOS korisnika da ažuriraju svoje OpenAI aplikacije na najnovije verzije kako bi se spriječio bilo kakav rizik da neko pokuša da distribuira lažnu aplikaciju.

Prema OpenAI-u, Axios, masovno korišćena biblioteka za razvoj treće strane, kompromitovana je 31. marta, kao dio šireg napada na lanac snabdijevanja softverom od strane aktera za koje se vjeruje da su povezani sa Sjevernom Korejom. Ovaj napad doveo je do toga da GitHub Actions radni tok koji koristi OpenAI preuzme i izvrši „zlonamjernu“ verziju Axiosa. Ovaj radni tok je imao pristup sertifikatu i materijalima za notarizaciju koji se koriste za potpisivanje macOS aplikacija, uključujući ChatGPT Desktop, Kodex, Kodex-cli i Atlas.

OpenAI je naveo da je njegova analiza incidenta zaključila da potpisni sertifikat prisutan u ovom radnom toku najvjerovatnije nije uspješno izvučen od strane „zlonamjernog“ paketa. Od 8. maja, starije verzije OpenAI macOS desktop aplikacija više neće dobijati ažuriranja niti podršku, i možda neće biti funkcionalne, saopštio je proizvođač ChatGPT-a.

Lozinke i OpenAI API ključevi nijesu bili pogođeni ovim bezbjednosnim problemom treće strane, saopštila je kompanija, dodajući da je osnovni uzrok bezbjednosnog incidenta bila pogrešna konfiguracija u GitHub Actions radnom toku, koja je u međuvremenu ispravljena.