OpenAI于周三披露，与Shai-Hulud恶意软件活动相关的黑客通过破坏TanStack npm软件包（一种用于管理代码包的开源软件工具）入侵了其内部开发环境。该恶意软件感染了两名员工的设备，使攻击者能够访问包含macOS、Windows和iOS产品代码签名证书的有限内部代码仓库。OpenAI表示，没有客户数据、生产系统或知识产权遭到泄露，并正在轮换受影响的证书作为预防措施。macOS用户需要在6月12日之前更新应用，以避免功能问题。此前，微软和AI初创公司Mistral AI在本周初也遭到类似攻击，攻击者通过PyPI分发的软件包植入恶意代码。OpenAI强调，这一事件反映了网络犯罪分子越来越多地针对共享软件依赖和开发工具的趋势，而非仅针对单一公司。

关键事实

• 恶意软件通过受感染的TanStack npm包感染两名员工设备。
• 攻击者访问了包含macOS、Windows、iOS代码签名证书的代码仓库。
• 未泄露客户数据、生产系统或知识产权。
• macOS用户需在6月12日前更新OpenAI应用；证书正在轮换。
• 同一周早些时候，微软和Mistral AI也遭受类似攻击。