”OpenAI” تحذر مستخدمي أجهزة ماك بعد اختراق طال تطبيقات ChatGPT وCodex
وكالات
دعت أوبن إي آي ”OpenAI” مستخدمي تطبيقاتها على نظام macOS، بما في ذلك ChatGPT وCodex، إلى تثبيت التحديثات الجديدة بشكل عاجل، عقب تعرض عدد من أجهزة موظفيها لاختراق إلكتروني مرتبط بمكتبة برمجية مفتوحة المصدر تُعرف باسم “Tanstack”.
وبحسب تقارير تقنية، فقد استهدف الهجوم مكتبة “Tanstack” المستخدمة على نطاق واسع في تطوير مواقع الويب، بعدما قام مهاجم يوم الاثنين بنشر 84 نسخة خبيثة عبر 42 حزمة ضمن منصة “npm”، وهي حزم برمجية جاهزة للاستعمال يعتمد عليها عدد كبير من المطورين.
وتشير المعطيات إلى أن بعض الحزم المتأثرة تحقق ملايين التنزيلات أسبوعياً، ما كان قد يفتح المجال أمام اختراق عدد واسع من المشاريع والمستخدمين، قبل أن ينجح باحثو الأمن السيبراني في اكتشاف البرمجيات الخبيثة خلال أول 20 دقيقة من نشرها وإزالتها سريعاً.
وأكدت OpenAI أن جهازين تابعين لموظفين يملكون صلاحية الوصول إلى بيئة الشركة قاما بتثبيت نسخ من الحزم المصابة، وهو ما دفعها إلى فتح تحقيق داخلي للتأكد من حجم التأثير المحتمل.
وأوضحت الشركة أنها لم ترصد أي دليل على اختراق بيانات المستخدمين أو أنظمة الإنتاج أو الملكية الفكرية الخاصة بها، غير أنها سجلت أنشطة غير مصرح بها مرتبطة بمحاولات استخراج بيانات اعتماد من بعض مستودعات الشيفرة المصدرية الداخلية.
وتضم هذه المستودعات شهادات توقيع رقمية تُستخدم للتحقق من موثوقية تطبيقات الشركة على أنظمة iOS وmacOS وWindows، وهو ما أثار مخاوف من إمكانية استغلالها لنشر تطبيقات مزيفة تحمل توقيع OpenAI وتتجاوز أنظمة الحماية الخاصة بأنظمة التشغيل.
ولهذا السبب، أعلنت الشركة شروعها في تغيير شهادات توقيع التطبيقات كإجراء احترازي، مؤكدة أن مستخدمي macOS مطالبون بتحديث تطبيقاتهم لتفادي أي مخاطر محتملة، بينما أوضحت أن مستخدمي Windows وiOS ليسوا مطالبين حالياً بأي خطوات إضافية.
كما حذرت OpenAI مستخدمي أجهزة ماك من تحميل أي تطبيقات من روابط البريد الإلكتروني أو الرسائل النصية أو المواقع غير الرسمية، داعية إلى الاعتماد حصراً على التحديثات وروابط التنزيل الرسمية التابعة للشركة.
وأكدت الشركة أنها لم تعثر حتى الآن على أي دليل يفيد باستخدام شهاداتها لتوقيع برمجيات خبيثة، لكنها تخطط لإلغاء الشهادات القديمة بالكامل يوم 12 يونيو المقبل، وهو ما سيؤدي إلى حظر تشغيل التطبيقات الموقعة بالشهادات السابقة عبر أنظمة الحماية الخاصة بـ macOS.
وفي المقابل، فضلت الشركة عدم إلغاء الشهادات بشكل فوري لتجنب حدوث مشاكل تقنية واسعة لدى مستخدمي أجهزة ماك بسبب نظام التوثيق المعتمد من شركة Apple.
