OpenAIは2026年5月14日ごろ、恐喝グループTeamPCPによるnpmパッケージ「TanStack」等を悪用したサプライチェーン攻撃で従業員2人の端末が侵害され、一部のリポジトリの認証情報と、macOS・Windows・iOS・Android向けアプリのコード署名証明書が流出したと公表した。同社は顧客データや本番システムへの影響はなく証明書の悪用も確認されていないとしたうえで、証明書を失効・更新し、macOS版利用者にアプリの更新を求めた。
出典
OpenAI says two employees' devices were breached in the recent TanStack supply chain attack that impacted hundreds of npm and PyPI packages, causing the company to rotate code-signing certificates for its applications as a precaution.
OpenAI details its response to the TanStack “Mini Shai-Hulud” supply chain attack, outlines protections taken to secure systems and signing certificates, and explains why macOS users must update OpenAI apps by June 12, 2026. Learn what happened, what was affected, and how OpenAI is strengthening defenses against evolving software supply chain threats.