OpenAI xác nhận hai thiết bị nhân viên đã bị xâm nhập trong một chiến dịch tấn công chuỗi cung ứng phần mềm liên quan đến các gói TanStack npm, nhưng công ty nói chưa phát hiện dấu hiệu dữ liệu người dùng hay hệ thống sản xuất bị ảnh hưởng.
Sự việc đáng chú ý vì vụ tấn công không chỉ nhắm vào một dự án mã nguồn mở phổ biến mà còn cho thấy rủi ro từ chuỗi cung ứng phần mềm có thể lan sang nhiều tổ chức khác. OpenAI cũng cho biết một số tài liệu chứng thực liên quan đến ứng dụng macOS đã bị trích xuất.
- Hai thiết bị của nhân viên OpenAI bị xâm nhập trong chiến dịch “Mini Shai-Hulud”.
- OpenAI nói chưa thấy dấu hiệu dữ liệu người dùng, hệ thống sản xuất hoặc tài sản trí tuệ bị can thiệp.
- Một số chứng chỉ ký mã cho ứng dụng macOS đã bị trích xuất, khiến vấn đề cập nhật phần mềm trên máy Mac trở nên đáng chú ý.
OpenAI xác nhận bị ảnh hưởng ở cấp thiết bị, không phải hệ thống sản xuất
OpenAI cho biết hai thiết bị nhân viên đã bị xâm nhập sau khi cài đặt các phiên bản độc hại của gói TanStack npm. Tuy vậy, công ty nói chưa tìm thấy bằng chứng cho thấy dữ liệu người dùng, hệ thống sản xuất, tài sản trí tuệ hoặc phần mềm phát hành ra ngoài bị xâm phạm.
Để phục vụ điều tra, OpenAI đã làm việc với một đơn vị pháp y bên ngoài. Công ty cũng cho biết từng triển khai các biện pháp kiểm soát nhằm giảm rủi ro từ tấn công chuỗi cung ứng phần mềm, nhưng hai thiết bị bị ảnh hưởng chưa nhận được cấu hình cập nhật kịp thời.
Chiến dịch Mini Shai-Hulud nhắm vào hệ sinh thái npm và PyPI
Mini Shai-Hulud là một mã độc có khả năng tự sao chép, được mô tả là đánh cắp thông tin xác thực như token GitHub, khóa đám mây và khóa SSH sau khi được cài vào máy phát triển hoặc hệ thống CI/CD. Sau đó, nó cố gắng phát tán tiếp sang các gói khác mà nạn nhân đang duy trì.
Chiến dịch này được cho là đã tác động đến cả hệ sinh thái npm và PyPI. Ngoài OpenAI và TanStack, một số mã nguồn liên quan đến Mistral AI, UiPath, OpenSearch và Guardrails AI cũng bị nhắc đến trong phạm vi ảnh hưởng.
Đặc điểm nguy hiểm của cuộc tấn công là mã độc được phát hành bằng các khóa công bố hợp lệ của TanStack, khiến phiên bản độc hại trông giống như một bản cập nhật chính thức. Một nhà nghiên cứu bên ngoài của StepSecurity đã phát hiện các gói độc hại trong khoảng 20 phút sau khi được đăng tải và báo cho npm security.
TanStack bị lợi dụng như thế nào
Mục tiêu ban đầu của chiến dịch là TanStack, một thư viện mã nguồn mở được dùng rộng rãi bởi cộng đồng lập trình viên. Nhóm tấn công đã đăng 84 phiên bản độc hại trên 42 gói npm, trong đó có @tanstack/react-router, gói này được tải hơn 12 triệu lần mỗi tuần.
Việc một thư viện phổ biến bị lợi dụng cho thấy rủi ro của chuỗi cung ứng phần mềm không nằm ở bản thân ứng dụng cuối cùng mà còn ở các gói phụ thuộc mà nhà phát triển tin tưởng. Khi gói độc hại đi qua quy trình tự động, mức độ lan truyền có thể rất nhanh.
Các nhà nghiên cứu cũng lưu ý rằng payload cài một daemon tồn tại lâu dài, hoạt động như một “dead-man’s switch”. Nếu nạn nhân thu hồi token GitHub đã bị đánh cắp, mã độc có thể kích hoạt lệnh xóa thư mục home của người dùng.
Người dùng Mac của OpenAI cần theo dõi cập nhật ứng dụng
OpenAI cho biết một số vật liệu chứng thực từ kho mã nội bộ đã bị lấy đi, bao gồm chứng chỉ ký mã cho ứng dụng macOS. Công ty nói chưa thấy bằng chứng cho việc phần mềm độc hại được ký bằng các chứng chỉ này hay có chỉnh sửa trái phép đối với ứng dụng đã phát hành.
Đồng thời, việc notarization mới bằng các chứng chỉ cũ đã bị chặn, nên các ứng dụng giả mạo nếu cố dùng lại những chứng chỉ đó sẽ thiếu xác thực của Apple và bị macOS chặn theo mặc định. OpenAI cũng nói người dùng Mac cần cập nhật ChatGPT Desktop, Codex và Atlas chậm nhất vào ngày 12/6/2026, nếu không phần mềm sẽ bị chặn bởi cơ chế bảo vệ của macOS.
Tổng kết
OpenAI đang xử lý một sự cố chuỗi cung ứng phần mềm ảnh hưởng đến hai thiết bị nhân viên, nhưng chưa thấy dấu hiệu rò rỉ dữ liệu người dùng hay xâm nhập hệ thống sản xuất. Phần đáng theo dõi nhất lúc này là các biện pháp bảo mật tiếp theo và yêu cầu cập nhật đối với người dùng Mac.
