OpenAI 回应 Axios 开发者工具安全事件：要求 macOS 用户更新应用

事件概述：Axios 库遭攻击，OpenAI 启动应急响应

近日，OpenAI 发布安全公告，披露了一起涉及第三方开发者工具 Axios 的安全事件。该事件源于一场广泛报道的行业级供应链攻击。出于高度谨慎，OpenAI 正在采取措施保护其 macOS 应用的签名认证流程，确保用户下载的 OpenAI 软件真实可信。

核心结论： 截至目前，OpenAI 未发现用户数据泄露、系统或知识产权受损、软件被篡改的证据。但为了防患于未然，OpenAI 已决定全面更换安全证书，并要求所有 macOS 用户务必在 2026 年 5 月 8 日之前 更新至最新版应用。

事件时间线与技术细节

• 攻击发生时间： 2026 年 3 月 31 日（UTC），广泛使用的第三方开发库 Axios 被攻陷，成为更大规模软件供应链攻击的一部分。
• 受影响组件： OpenAI 在 macOS 应用签名流程中使用的一个 GitHub Actions 工作流，在运行时下载并执行了恶意版本的 Axios（版本 1.14.1）。该工作流有权访问用于签署 macOS 应用的证书和公证材料。
• 涉及应用： 包括 ChatGPT Desktop、Codex App、Codex CLI 和 Atlas 在内的所有 OpenAI macOS 桌面应用。

OpenAI 的应对措施

尽管分析表明，由于恶意负载执行时机、证书注入作业顺序及其他缓解因素，签名证书很可能未被成功窃取，但 OpenAI 仍将此事态视为严重安全风险。具体措施包括：

1. 立即撤销并轮换证书： 将受影响的签名证书视为已泄露，立即撤销并生成新证书。
2. 发布新版本： 所有相关 macOS 产品均已使用新证书重新构建并发布。
3. 与 Apple 协作： 确保使用旧证书的软件无法获得新的公证。
4. 全面审查： 审查所有使用旧证书的公证记录，确认无异常软件被公证。
5. 修复根因： 修复 GitHub Actions 工作流中的配置错误（使用了浮动标签而非具体提交哈希，且未配置新包的最小发布年龄）。

用户必须采取的行动

立即更新 macOS 应用

从 2026 年 5 月 8 日起，旧版本的 OpenAI macOS 桌面应用将无法接收更新或支持，且可能无法正常运行。以下是需要更新的最低版本：

• ChatGPT Desktop: 1.2026.051
• Codex App: 26.406.40811
• Codex CLI: 0.119.0
• Atlas: 1.2026.84.2

安全下载渠道

请务必通过以下官方渠道更新应用，切勿从邮件、消息、广告或第三方下载站点安装：

• ChatGPT 桌面版
• Codex
• Codex CLI
• Atlas

提高警惕

对任何通过电子邮件、短信、聊天消息、广告、文件共享链接或第三方下载站点发送的意外“OpenAI”、“ChatGPT”或“Codex”安装程序保持高度警惕。

常见问题解答（FAQ）

OpenAI 产品或用户数据是否受损？

否。目前未发现任何 OpenAI 产品或用户数据被泄露或暴露的证据。

是否发现被签名成 OpenAI 的恶意软件？

否。未发现潜在的公证和签名材料被滥用，所有使用受影响材料的公证事件均为预期操作。

我需要更改密码吗？

不需要。密码和 OpenAI API 密钥未受影响。

这会影响 iOS、Android、Linux 或 Windows 吗？

不影响。仅涉及 OpenAI macOS 应用，Web 版本不受影响。

为什么要求立即更新 Mac 应用？

因为暴露的工作流与 macOS 应用签名相关，主动轮换证书可确保用户运行的是使用最新证书签名的版本，从而验证软件来自合法的 OpenAI 开发者。

为什么没有立即撤销证书？

OpenAI 已采取措施阻止任何进一步的公证，并在全面分析后，于 5 月 8 日执行完整撤销，以平衡安全性与用户体验。

对 OpenAI News 的启示

此次事件再次凸显了软件供应链安全的重要性。对于关注 OpenAI News 的用户而言，这一事件传递了几个关键信息：

1. 透明度优先： OpenAI 在发现潜在风险后，第一时间公开披露并给出明确的行动指南，体现了对用户安全的高度负责。
2. 主动防御： 即使未发现实际损害，OpenAI 仍采取了证书轮换、版本强制更新等强力措施，将风险降至最低。
3. 用户教育： 通过详细的 FAQ 和安全下载指引，OpenAI 帮助用户识别并避开潜在的网络钓鱼和恶意软件风险。

结语

安全无小事。OpenAI 此次对 Axios 开发者工具安全事件的快速响应和透明沟通，为行业树立了良好范例。所有 macOS 用户应尽快按照指引更新应用，确保自身数据安全。我们也将持续关注 OpenAI News，为您带来最新的安全动态与技术解析。