أوبن إيه آي تحذّر مستخدمي macOS من تهديدات برمجية خبيثة

أصدرت شركة أوبن إيه آي تحذيراً أمنياً عاجلاً لمستخدمي تطبيقاتها على نظام macOS، بما في ذلك ChatGPT وCodex. جاء ذلك بعد اكتشاف أن أجهزة عدد من موظفيها ثبّتت نسخاً خبيثة من مكتبة برمجية مفتوحة المصدر تُدعى Tanstack.

اختراق يهدد بيانات المطورين

وفقاً للتقرير الذي تم نشره، قام مهاجم يوم الاثنين بإطلاق 84 نسخة خبيثة عبر 42 حزمة npm مرتبطة بمكتبة Tanstack. تعتبر هذه المكتبة شائعة في تطوير الويب وتحصل على ملايين التنزيلات أسبوعياً. وعلى الرغم من أن الباحثين رصدوا البرمجيات الخبيثة خلال 20 دقيقة فقط وأزالوها بسرعة، فإن تثبيتها كان من الممكن أن يؤدي إلى تنزيل برمجيات قادرة على سرقة بيانات اعتماد المطورين المرتبطة بالحوسبة السحابية.

تحقيقات حول الأجهزة المتأثرة

أكدت أوبن إيه آي أن جهازين لموظفين يمتلكان صلاحية الوصول إلى “بيئة الشركة” قاما بتثبيت النسخ الخبيثة. وعلى ضوء ذلك، افتتحت الشركة تحقيقاً شاملاً في هذا الأمر. وقالت أوبن إيه آي: “لم نجد أي دليل على الوصول إلى بيانات مستخدمي أوبن إيه آي أو اختراق أنظمة الإنتاج أو الملكية الفكرية”. ومع ذلك، رصدت الشركة نشاطاً غير مصرح به يشبه سلوك البرمجيات الخبيثة، بما في ذلك محاولات استخراج بيانات اعتماد من مستودعات داخلية محدودة.

إجراءات عاجلة لحماية المستخدمين

من أخطر ما كشفته الشركة هو أن المستودعات المتأثرة تضمنت شهادات توقيع التطبيقات الخاصة بأنظمة macOS وiOS وWindows. في حال سرقتها، يمكن للمهاجمين توزيع برمجيات خبيثة تبدو وكأنها تطبيقات رسمية من أوبن إيه آي، مما قد يتجاوز آليات الأمان. أعلنت الشركة أنها بدأت على الفور في تدوير شهادات توقيع الكود، مشددة على ضرورة تحديث تطبيقات مستخدمي macOS بشكل عاجل.

• مستخدمو macOS: تحديث إلزامي.
• مستخدمو Windows وiOS: لا حاجة لاتخاذ أي إجراء حالياً.

كما أكدت الشركة أنها ستلغي الشهادات القديمة في 12 يونيو، مما يعني أنه بعد هذا التاريخ سيتم حظر تشغيل التطبيقات غير المحدثة.

نصائح هامة لمستخدمي أجهزة ماك

أوصت أوبن إيه آي المستخدمين باتباع النصائح التالية:

• عدم تثبيت أي تطبيقات تحمل اسم OpenAI أو ChatGPT أو Codex من روابط بريد إلكتروني أو رسائل أو إعلانات.
• عدم تحميل التطبيقات من مواقع خارجية أو غير رسمية.
• الاعتماد فقط على التحديث داخل التطبيق أو الروابط الرسمية.

وأكدت الشركة أنها لم تجد أي دليل حتى الآن على استخدام شهاداتها لتوقيع برمجيات خبيثة.