OpenAI Rotaciona Certificados do macOS Após Ataque à Cadeia de Suprimentos do Axios

Iris Coleman

15 de abr de 2026 02:02

OpenAI responde ao comprometimento do npm Axios ligado à Coreia do Norte, rotacionando certificados de assinatura de código. Usuários de macOS devem atualizar os aplicativos ChatGPT, Codex até 8 de maio.

OpenAI está forçando todos os usuários de macOS a atualizarem seus aplicativos de desktop após o fluxo de assinatura de aplicativos da empresa ter sido exposto ao ataque na cadeia de suprimentos do Axios — uma violação atribuída a atores de ameaça norte-coreanos que atingiu a popular biblioteca JavaScript em 31 de março de 2026.

A gigante de IA afirma que não encontrou evidências de que dados de usuários tenham sido acessados ou que seu software tenha sido adulterado. Mas a empresa não está correndo riscos: está tratando seu certificado de assinatura de código do macOS como comprometido e revogando-o completamente em 8 de maio de 2026.

O que realmente aconteceu

Quando a versão comprometida do Axios 1.14.1 foi lançada no npm em 31 de março, um fluxo de trabalho do GitHub Actions que a OpenAI usa para assinatura de aplicativos no macOS baixou e executou o código malicioso. Esse fluxo tinha acesso aos certificados usados para assinar o ChatGPT Desktop, Codex, Codex CLI e Atlas — as credenciais que dizem ao macOS “sim, este software realmente vem da OpenAI.”

A causa raiz? Uma configuração incorreta. O fluxo da OpenAI referenciou o Axios usando uma tag flutuante em vez de um hash de commit fixo, e não tinha uma configuração de idade mínima de lançamento para novos pacotes. Uma vulnerabilidade clássica na cadeia de suprimentos.

A análise interna da OpenAI sugere que o certificado de assinatura provavelmente não foi exfiltrado com sucesso devido ao tempo e à sequência de execução. Mas “provavelmente” não é suficiente quando você está assinando softwares que rodam em milhões de máquinas.

O ataque mais amplo

O comprometimento do Axios não tinha como alvo especificamente a OpenAI. Pesquisadores de segurança, incluindo a equipe de inteligência de ameaças do Google, ligaram o ataque a um ator com vínculo à Coreia do Norte — possivelmente Sapphire Sleet ou UNC1069. Os atacantes comprometeram a conta de um mantenedor do npm e injetaram uma dependência maliciosa chamada ‘plain-crypto-js’ que implantou um RAT multiplataforma capaz de reconhecimento, persistência e auto-destruição para evitar detecção.

O ataque atingiu organizações nos setores de serviços empresariais, financeiros e tecnologia globalmente.

O que os usuários precisam fazer

Se você usa algum aplicativo da OpenAI no macOS, atualize agora. Após 8 de maio, versões mais antigas deixarão de funcionar completamente. Versões mínimas necessárias:

  • ChatGPT Desktop: 1.2026.051
  • Aplicativo Codex: 26.406.40811
  • Codex CLI: 0.119.0
  • Atlas: 1.2026.84.2

Baixe apenas de fontes oficiais ou via atualizações no próprio aplicativo. A OpenAI alerta explicitamente contra a instalação de qualquer coisa de e-mails, anúncios ou sites de terceiros — conselho sensato, já que um ator malicioso com o certificado antigo poderia teoricamente assinar aplicativos falsos que parecem legítimos.

Usuários de Windows, iOS, Android e Linux não são afetados. Nem as versões web. Senhas e chaves de API permanecem seguras.

Por que a janela de 30 dias?

A OpenAI poderia revogar o certificado imediatamente, mas optou por não fazê-lo. A nova notarização com o certificado comprometido já está bloqueada, o que significa que qualquer aplicativo fraudulento assinado com ele falharia nas verificações de segurança padrão do macOS, a menos que os usuários as override manualmente.

O atraso dá tempo aos usuários para atualizarem pelos canais normais, ao invés de acordar com softwares quebrados. A OpenAI afirma que está monitorando sinais de uso indevido do certificado e acelerará a revogação se detectar atividades maliciosas.

O incidente reforça como ataques na cadeia de suprimentos continuam a impactar o ecossistema de software. Um pacote npm comprometido, e de repente a OpenAI está rotacionando certificados em toda sua linha de produtos para macOS. Para os desenvolvedores, a lição é clara: fixe suas dependências em commits específicos, não em tags flutuantes.

Fonte da imagem: Shutterstock

Ver original
Esta página pode conter conteúdo de terceiros, que é fornecido apenas para fins informativos (não para representações/garantias) e não deve ser considerada como um endosso de suas opiniões pela Gate nem como aconselhamento financeiro ou profissional. Consulte a Isenção de responsabilidade para obter detalhes.
  • Recompensa
  • Comentário
  • Repostar
  • Compartilhar
Comentário
Adicionar um comentário
Adicionar um comentário
Sem comentários
  • Marcar