Code Velocity
Keamanan AI

Kompromi Alat Pengembang Axios: OpenAI Menanggapi Serangan Rantai Pasokan

·11 mnt baca·OpenAI·Sumber asli
Bagikan
AfrikaansالعربيةAzərbaycanБългарскиবাংলাCatalàČeštinaDanskDeutschΕλληνικάEnglishEspañolEestiفارسیSuomiFilipinoFrançaisעבריתहिन्दीHrvatskiMagyarBahasa IndonesiaÍslenskaItaliano日本語ქართული한국어LietuviųLatviešuМакедонскиBahasa MelayuNederlandsNorskPolskiPortuguêsRomânăРусскийSlovenčinaSlovenščinaShqipСрпскиSvenskaKiswahiliதமிழ்ไทยTürkçeУкраїнськаاردوTiếng Việt中文
Tanggapan OpenAI terhadap kompromi alat pengembang Axios, menyoroti pembaruan keamanan aplikasi macOS.

title: "Kompromi Alat Pengembang Axios: OpenAI Menanggapi Serangan Rantai Pasokan" slug: "axios-developer-tool-compromise" date: "2026-04-11" lang: "id" source: "https://openai.com/index/axios-developer-tool-compromise/" category: "Keamanan AI" keywords:

  • OpenAI
  • Axios
  • 'alat pengembang'
  • 'serangan rantai pasokan'
  • 'keamanan macOS'
  • 'penandatanganan kode'
  • 'kompromi keamanan'
  • 'kerentanan perangkat lunak'
  • 'ChatGPT Desktop'
  • 'Aplikasi Codex'
  • Atlas
  • 'GitHub Actions' meta_description: "OpenAI mengatasi insiden keamanan yang melibatkan alat pengembang Axios yang dikompromikan, memulai rotasi sertifikat aplikasi macOS. Data pengguna tetap aman, mendesak pembaruan untuk keamanan yang ditingkatkan." image: "/images/articles/axios-developer-tool-compromise.png" image_alt: "Tanggapan OpenAI terhadap kompromi alat pengembang Axios, menyoroti pembaruan keamanan aplikasi macOS." quality_score: 94 content_score: 93 seo_score: 95 companies:
  • OpenAI schema_type: "NewsArticle" reading_time: 11 faq:
  • question: "Apakah produk OpenAI atau data pengguna dikompromikan?" answer: "Tidak. Penyelidikan menyeluruh OpenAI terhadap kompromi alat pengembang Axios tidak menemukan bukti bahwa produk OpenAI dikompromikan atau bahwa data pengguna diakses atau terekspos. Perusahaan mengonfirmasi bahwa sistem dan kekayaan intelektualnya tetap tidak dikompromikan, dan perangkat lunaknya tidak diubah. Insiden ini terutama adalah serangan rantai pasokan pada pustaka pihak ketiga, dan OpenAI bertindak sangat hati-hati untuk melindungi aplikasi macOS-nya, meskipun tidak ada dampak langsung pada informasi pengguna atau sistem inti. Tindakan proaktif ini memastikan integritas berkelanjutan platform mereka dan privasi pengguna mereka, bahkan di hadapan risiko teoretis."
  • question: "Apakah Anda melihat malware yang ditandatangani sebagai OpenAI?" answer: "OpenAI telah mengonfirmasi bahwa, berdasarkan penyelidikan mereka, tidak ada bukti bahwa bahan notarisasi dan penandatanganan kode yang berpotensi terekspos telah disalahgunakan untuk menandatangani perangkat lunak berbahaya yang muncul sebagai aplikasi OpenAI yang sah. Semua peristiwa notarisasi yang terkait dengan materi yang terdampak telah ditinjau dan dikonfirmasi keabsahannya. Meskipun risiko penyalahgunaan tersebut adalah alasan utama untuk tanggapan proaktif mereka, pemantauan berkelanjutan dilakukan untuk mendeteksi aktivitas yang tidak sah. Pengguna didorong untuk tetap waspada dan hanya mengunduh aplikasi dari sumber resmi."
  • question: "Apakah saya perlu mengubah kata sandi saya?" answer: "Tidak, tidak perlu bagi pengguna untuk mengubah kata sandi atau kunci API OpenAI mereka. Insiden keamanan yang melibatkan kompromi alat pengembang Axios tidak memengaruhi kredensial pengguna atau kunci API. Sistem internal OpenAI yang menyimpan informasi sensitif tersebut tidak dilanggar, dan sifat kompromi diisolasi pada proses penandatanganan aplikasi untuk aplikasi macOS. Pengguna dapat yakin bahwa keamanan akun mereka tetap utuh dan tidak ada tindakan yang diperlukan dari pihak mereka terkait kredensial."
  • question: "Apakah ini memengaruhi iOS, Android, Linux, atau Windows?" answer: "Tidak, insiden keamanan ini secara khusus hanya memengaruhi aplikasi macOS OpenAI, termasuk ChatGPT Desktop, Aplikasi Codex, Codex CLI, dan Atlas. Kompromi tersebut terkait dengan alur kerja GitHub Actions yang digunakan secara eksklusif untuk proses penandatanganan aplikasi macOS. Pengguna pada platform iOS, Android, Linux, atau Windows, termasuk mereka yang mengakses layanan OpenAI melalui peramban web, tidak terpengaruh oleh insiden khusus ini dan tidak perlu mengambil tindakan apa pun terkait saran ini. Kerentanan ini spesifik platform karena sifat paparan sertifikat penandatanganan."
  • question: "Mengapa Anda meminta saya untuk memperbarui aplikasi Mac saya?" answer: "OpenAI secara proaktif meminta pengguna macOS untuk memperbarui aplikasi mereka karena paparan yang teridentifikasi dalam alur kerja GitHub Actions yang merupakan bagian dari proses penandatanganan aplikasi macOS. Meskipun tidak ada bukti penyalahgunaan, OpenAI merotasi sertifikat notarisasi dan penandatanganan kode mereka sebagai tindakan pencegahan. Memperbarui aplikasi Mac Anda memastikan aplikasi tersebut ditandatangani dengan sertifikat baru yang aman, yang memverifikasi bahwa perangkat lunak tersebut benar-benar berasal dari OpenAI dan belum dimodifikasi, sehingga melindungi dari potensi upaya peniruan identitas di masa mendatang dan memastikan integritas aplikasi yang Anda instal."
  • question: "Apa yang terjadi setelah 8 Mei 2026?" answer: "Setelah 8 Mei 2026, versi lama aplikasi desktop macOS OpenAI—khususnya ChatGPT Desktop (lebih lama dari 1.2026.051), Aplikasi Codex (lebih lama dari 26.406.40811), Codex CLI (lebih lama dari 0.119.0), dan Atlas (lebih lama dari 1.2026.84.2)—tidak akan lagi menerima pembaruan atau dukungan resmi. Yang lebih penting, versi lama ini mungkin berhenti berfungsi sepenuhnya, karena perlindungan keamanan macOS akan mulai memblokir unduhan dan peluncuran aplikasi yang ditandatangani dengan sertifikat yang dicabut. Pengguna sangat disarankan untuk memperbarui sebelum tanggal ini untuk mempertahankan fungsionalitas dan keamanan penuh serta menghindari gangguan layanan apa pun."
  • question: "Mengapa Anda tidak mencabut sertifikat segera?" answer: "OpenAI telah memilih pendekatan bertahap untuk pencabutan sertifikat, menerapkan jendela 30 hari sebelum pencabutan penuh pada 8 Mei 2026. Keputusan ini dibuat untuk meminimalkan gangguan bagi pengguna. Meskipun notarisasi baru dengan sertifikat sebelumnya telah diblokir, pencabutan penuh segera akan menyebabkan macOS memblokir unduhan dan peluncuran pertama aplikasi yang ada yang ditandatangani dengan sertifikat tersebut. Masa tenggang memungkinkan pengguna untuk memperbarui aplikasi mereka dengan lancar melalui mekanisme bawaan, memastikan kesinambungan layanan sambil tetap mengurangi risiko. OpenAI secara aktif memantau penyalahgunaan dan siap untuk mempercepat pencabutan jika diperlukan."

# Kompromi Alat Pengembang Axios: OpenAI Menanggapi Serangan Rantai Pasokan

## Mengatasi Kompromi Alat Pengembang Axios: Sebuah Tinjauan

OpenAI baru-baru ini mengumumkan insiden keamanan yang melibatkan Axios, alat pengembang pihak ketiga yang banyak digunakan, yang dikompromikan sebagai bagian dari serangan rantai pasokan perangkat lunak skala industri yang lebih luas. Insiden ini, yang awalnya dilaporkan pada 31 Maret 2026, oleh Google Cloud, menyoroti kerentanan di mana versi berbahaya Axios (versi 1.14.1) secara tidak sengaja dieksekusi. Bagi OpenAI, ini terjadi dalam alur kerja GitHub Actions tertentu yang digunakan untuk proses penandatanganan aplikasi macOS.

Meskipun ada potensi paparan, penyelidikan menyeluruh OpenAI tidak menemukan bukti bahwa data pengguna diakses, sistem internal atau kekayaan intelektual dikompromikan, atau bahwa perangkat lunaknya diubah. Perusahaan menekankan komitmennya terhadap transparansi dan tindakan cepat, segera memulai tanggapan komprehensif untuk mengurangi risiko teoretis apa pun dan menginformasikan basis penggunanya. Pendekatan proaktif ini menggarisbawahi pentingnya keamanan rantai pasokan dalam pengembangan perangkat lunak modern, terutama untuk alat pengembang yang sangat terintegrasi ke dalam alur kerja produksi.

## Tanggapan Proaktif OpenAI dan Langkah-Langkah Keamanan yang Ditingkatkan

Menanggapi kompromi Axios, OpenAI telah mengambil langkah-langkah tegas untuk menjaga aplikasi macOS-nya dan kepercayaan pengguna. Inti dari strategi mereka melibatkan rotasi dan pencabutan sertifikat keamanan yang digunakan untuk menandatangani aplikasi macOS mereka. Alur kerja GitHub Actions, yang bertanggung jawab atas proses penandatanganan aplikasi macOS, sementara mengunduh dan mengeksekusi versi Axios berbahaya tersebut. Alur kerja ini memiliki akses ke materi sertifikat dan notarisasi penting yang esensial untuk memverifikasi keaslian aplikasi OpenAI, seperti ChatGPT Desktop, [Aplikasi Codex](/id/openai-gpt-5-2-codex), Codex CLI, dan Atlas.

Meskipun analisis awal menunjukkan bahwa sertifikat penandatanganan kemungkinan besar tidak berhasil dieksfiltrasi oleh muatan berbahaya karena waktu dan urutan peristiwa, OpenAI memperlakukan sertifikat tersebut sebagai dikompromikan sebagai tindakan kehati-hatian yang berlebihan. Sikap proaktif ini berarti bahwa semua pengguna macOS sekarang diwajibkan untuk memperbarui aplikasi OpenAI mereka ke versi terbaru. Langkah ini sangat penting untuk mencegah potensi upaya oleh entitas tidak sah untuk mendistribusikan aplikasi palsu yang mungkin tampak sebagai perangkat lunak OpenAI yang sah, sehingga menjaga integritas dan keamanan ekosistem mereka.

## Aplikasi macOS yang Terdampak dan Pembaruan yang Diperlukan

Insiden keamanan ini secara khusus menargetkan aplikasi macOS OpenAI, sehingga memerlukan pembaruan segera bagi pengguna. Kompromi alat pengembang Axios terutama memengaruhi proses penandatanganan untuk aplikasi desktop ini. Pengguna ChatGPT Desktop, Aplikasi Codex, Codex CLI, dan Atlas di macOS didesak untuk memperbarui perangkat lunak mereka ke versi terbaru. Ini memastikan bahwa aplikasi mereka ditandatangani dengan sertifikat baru OpenAI yang aman, yang vital untuk menjaga kepercayaan dan keamanan yang diharapkan dari perangkat lunak resmi.

Efektif 8 Mei 2026, versi lama aplikasi macOS ini tidak akan lagi menerima pembaruan atau dukungan, dan mungkin menjadi tidak berfungsi. Tenggat waktu ini ditetapkan untuk memberikan jendela yang cukup bagi pengguna untuk beralih ke versi baru yang ditandatangani dengan aman. Di bawah ini adalah tabel yang merinci aplikasi yang terdampak dan versi minimum yang diperlukan yang menggabungkan sertifikat yang diperbarui:

| Aplikasi           | Versi Pembaruan Minimum |
| :----------------- | :---------------------- |
| ChatGPT Desktop    | 1.2026.051              |
| Aplikasi Codex     | 26.406.40811            |
| Codex CLI          | 0.119.0                 |
| Atlas              | 1.2026.84.2             |

Pengguna sebaiknya hanya mengunduh pembaruan melalui notifikasi dalam aplikasi atau melalui tautan unduhan resmi yang disediakan langsung oleh OpenAI. Hindari tautan apa pun yang diterima melalui email, pesan, atau situs web pihak ketiga yang tidak diminta, karena ini bisa menjadi upaya berbahaya untuk mengeksploitasi situasi tersebut.

## Penyelidikan, Remedi, dan Keamanan Rantai Pasokan

Tanggapan OpenAI meliputi penyelidikan menyeluruh, melibatkan firma forensik digital dan respons insiden pihak ketiga. Upaya remedi kunci melibatkan rotasi sertifikat penandatanganan kode macOS, penerbitan build baru dari semua produk macOS yang terdampak dengan sertifikat baru ini, dan kolaborasi dengan Apple untuk mencegah perangkat lunak apa pun yang ditandatangani dengan sertifikat sebelumnya agar tidak dinotarisasi ulang. Perusahaan juga dengan rajin meninjau semua notarisasi yang dilakukan dengan sertifikat sebelumnya, mengonfirmasi tidak ada notarisasi perangkat lunak yang tidak terduga terjadi, dan memvalidasi bahwa perangkat lunak yang diterbitkan tetap bebas dari modifikasi yang tidak sah.

Akar penyebab insiden ini diidentifikasi sebagai kesalahan konfigurasi dalam alur kerja GitHub Actions, khususnya penggunaan tag mengambang untuk dependensi alih-alih hash komit tertentu yang disematkan, dan kurangnya konfigurasi `minimumReleaseAge` untuk paket baru. Kerentanan ini dalam rantai pasokan [GitHub Actions](/id/github-agentic-workflows) memungkinkan versi Axios berbahaya dieksekusi. OpenAI sejak itu telah mengatasi kesalahan konfigurasi ini, memperkuat keamanan pipeline CI/CD mereka terhadap serangan rantai pasokan serupa. Insiden ini berfungsi sebagai pengingat penting bagi semua pengembang untuk menerapkan praktik keamanan rantai pasokan yang kuat, termasuk manajemen dependensi dan konfigurasi alur kerja yang cermat.

## Memastikan Kepercayaan Pengguna dan Perlindungan Data

Perhatian utama OpenAI sepanjang insiden ini adalah keamanan dan privasi informasi pengguna. Dengan segera mengungkapkan masalah dan mengambil langkah-langkah menyeluruh, mereka bertujuan untuk memperkuat kepercayaan pengguna. Komitmen perusahaan terhadap transparansi terbukti dalam pernyataan publik mereka yang terperinci dan penyediaan bagian FAQ yang luas untuk mengatasi kekhawatiran pengguna secara langsung. Mereka mengonfirmasi bahwa tidak ada kata sandi pengguna atau kunci API OpenAI yang terpengaruh, dan insiden tersebut terbatas pada proses penandatanganan aplikasi macOS.

Pendekatan bertahap untuk pencabutan sertifikat, dengan jendela 30 hari sebelum 8 Mei 2026, juga menunjukkan perspektif yang berpusat pada pengguna. Masa tenggang ini memungkinkan pengguna untuk memperbarui aplikasi mereka tanpa gangguan langsung, memastikan kelangsungan layanan sambil secara bertahap menghapus sertifikat yang berpotensi dikompromikan. OpenAI terus memantau indikator penyalahgunaan dan telah berjanji untuk mempercepat jadwal pencabutan jika aktivitas berbahaya terdeteksi.

## Pelajaran Penting bagi Pengguna macOS OpenAI

Bagi semua pengguna aplikasi macOS OpenAI, tindakan paling penting adalah memperbarui perangkat lunak Anda segera. Dengan melakukannya, Anda memastikan aplikasi Anda ditandatangani dengan sertifikat baru yang aman, melindungi Anda dari potensi serangan peniruan identitas dan memastikan fungsionalitas berkelanjutan setelah 8 Mei 2026. Selalu dapatkan pembaruan langsung dari saluran resmi OpenAI—baik melalui perintah dalam aplikasi atau situs web resmi mereka. Hindari sumber pihak ketiga atau tautan yang mencurigakan. Meskipun insiden ini menimbulkan risiko teoretis terhadap keaslian aplikasi macOS, tanggapan cepat dan komprehensif OpenAI telah secara efektif menahan potensi dampaknya, memungkinkan pengguna untuk terus memanfaatkan alat AI inovatif mereka dengan percaya diri.

Sumber asli

https://openai.com/index/axios-developer-tool-compromise/

Pertanyaan yang Sering Diajukan

Were OpenAI products or user data compromised?
No. OpenAI's thorough investigation into the Axios developer tool compromise found no evidence that any OpenAI products were compromised or that user data was accessed or exposed. The company confirmed that its systems and intellectual property remained uncompromised, and its software was not altered. This incident was primarily a supply chain attack on a third-party library, and OpenAI acted out of an abundance of caution to protect its macOS applications, despite no direct impact on user information or core systems. This proactive measure ensures the continued integrity of their platform and the privacy of their users, even in the face of theoretical risks.
Have you seen malware signed as OpenAI?
OpenAI has confirmed that, as of their investigation, there is no evidence that the potentially exposed notarization and code signing materials have been misused to sign malicious software appearing as legitimate OpenAI applications. All notarization events associated with the impacted materials were reviewed and confirmed to be legitimate. While the risk of such misuse was the primary reason for their proactive response, continuous monitoring is in place to detect any unauthorized activity. Users are encouraged to remain vigilant and only download applications from official sources.
Do I need to change my password?
No, there is no need for users to change their passwords or OpenAI API keys. The security incident involving the Axios developer tool compromise did not impact user credentials or API keys. OpenAI's internal systems holding such sensitive information were not breached, and the nature of the compromise was isolated to the app-signing process for macOS applications. Users can be confident that their account security remains intact and no action is required on their part regarding credentials.
Does this affect iOS, Android, Linux, or Windows?
No, this security incident specifically affects only OpenAI's macOS applications, including ChatGPT Desktop, Codex App, Codex CLI, and Atlas. The compromise was tied to a GitHub Actions workflow used exclusively for the macOS app-signing process. Users on iOS, Android, Linux, or Windows platforms, including those accessing OpenAI services via web browsers, are not affected by this particular incident and do not need to take any action related to this advisory. The vulnerability was platform-specific due to the nature of the signing certificate's exposure.
Why are you asking me to update my Mac apps?
OpenAI is proactively requesting macOS users to update their applications due to an identified exposure within a GitHub Actions workflow that was part of the macOS app-signing process. Although there's no evidence of misuse, OpenAI is rotating its notarization and code signing certificates out of caution. Updating your Mac apps ensures they are signed with the new, secure certificate, which verifies that the software genuinely originates from OpenAI and has not been tampered with, thereby safeguarding against potential future impersonation attempts and ensuring the integrity of your installed applications.
What happens after May 8, 2026?
After May 8, 2026, older versions of OpenAI's macOS desktop applications—specifically ChatGPT Desktop (earlier than 1.2026.051), Codex App (earlier than 26.406.40811), Codex CLI (earlier than 0.119.0), and Atlas (earlier than 1.2026.84.2)—will no longer receive updates or official support. More critically, these older versions may cease to function entirely, as macOS security protections will begin to block downloads and launches of apps signed with the revoked certificate. Users are strongly advised to update before this date to maintain full functionality and security and avoid any service interruptions.
Why are you not revoking the certificate immediately?
OpenAI has chosen a phased approach to certificate revocation, implementing a 30-day window before full revocation on May 8, 2026. This decision was made to minimize disruption for users. While new notarizations with the previous certificate have already been blocked, immediate full revocation would cause macOS to block downloads and first-time launches of existing apps signed with that certificate. The grace period allows users to update their applications smoothly through built-in mechanisms, ensuring continuity of service while still mitigating risk. OpenAI is actively monitoring for misuse and is prepared to accelerate revocation if necessary.

Tetap Update

Dapatkan berita AI terbaru di inbox Anda.

Bagikan