Code Velocity
AI 보안

Axios 개발자 도구 침해: OpenAI, 공급망 공격에 대응

·11 분 소요·OpenAI·원본 출처
공유
AfrikaansالعربيةAzərbaycanБългарскиবাংলাCatalàČeštinaDanskDeutschΕλληνικάEnglishEspañolEestiفارسیSuomiFilipinoFrançaisעבריתहिन्दीHrvatskiMagyarBahasa IndonesiaÍslenskaItaliano日本語ქართული한국어LietuviųLatviešuМакедонскиBahasa MelayuNederlandsNorskPolskiPortuguêsRomânăРусскийSlovenčinaSlovenščinaShqipСрпскиSvenskaKiswahiliதமிழ்ไทยTürkçeУкраїнськаاردوTiếng Việt中文
OpenAI의 Axios 개발자 도구 침해 대응, macOS 앱 보안 업데이트 강조.

Axios 개발자 도구 침해: OpenAI, 공급망 공격에 대응

Axios 개발자 도구 침해 문제 해결: 개요

OpenAI는 최근 널리 사용되는 타사 개발자 도구인 Axios와 관련된 보안 사고를 발표했습니다. 이 도구는 광범위한 산업 전반의 소프트웨어 공급망 공격의 일환으로 침해되었습니다. 2026년 3월 31일 Google Cloud에 의해 처음 보고된 이 사건은 Axios의 악성 버전(버전 1.14.1)이 부지불식간에 실행되는 취약점을 부각시켰습니다. OpenAI의 경우, 이는 macOS 애플리케이션 서명 프로세스에 사용되는 특정 GitHub Actions 워크플로 내에서 발생했습니다.

잠재적인 노출에도 불구하고, OpenAI의 철저한 조사 결과 사용자 데이터가 접근되거나 내부 시스템 또는 지적 재산이 침해되었다는 증거는 발견되지 않았으며, 소프트웨어 변경도 없었습니다. 회사는 투명성과 신속한 조치에 대한 약속을 강조하며, 이론적인 위험을 완화하고 사용자에게 정보를 제공하기 위해 즉시 포괄적인 대응을 시작했습니다. 이러한 선제적인 접근 방식은 특히 생산 워크플로에 깊이 통합된 개발자 도구의 현대 소프트웨어 개발에서 공급망 보안의 중요성을 강조합니다.

OpenAI의 선제적 대응 및 강화된 보안 조치

Axios 침해에 대응하여 OpenAI는 macOS 애플리케이션과 사용자 신뢰를 보호하기 위한 결정적인 조치를 취했습니다. 전략의 핵심은 macOS 앱 서명에 사용되는 보안 인증서의 교체 및 취소입니다. macOS 앱 서명 프로세스를 담당하는 GitHub Actions 워크플로가 일시적으로 악성 Axios 버전을 다운로드하고 실행했습니다. 이 워크플로는 ChatGPT Desktop, Codex App, Codex CLI 및 Atlas와 같은 OpenAI 애플리케이션의 진위 여부를 확인하는 데 필수적인 중요한 인증서 및 공증 자료에 접근할 수 있었습니다.

초기 분석에 따르면 타이밍과 이벤트 순서로 인해 서명 인증서가 악성 페이로드에 의해 성공적으로 유출되지 않았을 가능성이 높지만, OpenAI는 만일의 사태에 대비하여 해당 인증서를 침해된 것으로 간주하고 있습니다. 이러한 선제적인 입장은 모든 macOS 사용자가 OpenAI 애플리케이션을 최신 버전으로 업데이트해야 함을 의미합니다. 이 조치는 승인되지 않은 개체가 합법적인 OpenAI 소프트웨어로 위장할 수 있는 가짜 애플리케이션을 배포하려는 잠재적 시도를 방지하는 데 중요하며, 이를 통해 생태계의 무결성과 보안을 유지합니다.

영향을 받는 macOS 애플리케이션 및 필수 업데이트

보안 사고는 OpenAI의 macOS 애플리케이션을 구체적으로 대상으로 하며, 사용자에게 즉각적인 업데이트가 필요합니다. Axios 개발자 도구의 침해는 주로 이러한 데스크톱 애플리케이션의 서명 프로세스에 영향을 미쳤습니다. macOS에서 ChatGPT Desktop, Codex App, Codex CLI 및 Atlas를 사용하는 사용자들은 소프트웨어를 최신 버전으로 업데이트할 것을 촉구합니다. 이는 애플리케이션이 OpenAI의 새로운 보안 인증서로 서명되도록 하여, 공식 소프트웨어에 기대되는 신뢰와 보안을 유지하는 데 필수적입니다.

2026년 5월 8일부터는 이러한 macOS 애플리케이션의 이전 버전은 더 이상 업데이트나 지원을 받지 못하며, 기능이 중단될 수 있습니다. 이 기한은 사용자들이 새롭게 안전하게 서명된 버전으로 전환할 수 있는 충분한 기간을 제공하기 위해 설정되었습니다. 아래는 영향을 받는 애플리케이션과 업데이트된 인증서가 포함된 최소 필수 버전을 상세히 설명하는 표입니다.

애플리케이션최소 업데이트 버전
ChatGPT Desktop1.2026.051
Codex App26.406.40811
Codex CLI0.119.0
Atlas1.2026.84.2

사용자는 인앱 알림 또는 OpenAI에서 직접 제공하는 공식 다운로드 링크를 통해서만 업데이트를 다운로드해야 합니다. 확인되지 않은 이메일, 메시지 또는 타사 웹사이트를 통해 받은 링크는 상황을 악용하려는 악성 시도일 수 있으므로 피하십시오.

조사, 복구 및 공급망 보안

OpenAI의 대응에는 타사 디지털 포렌식 및 사고 대응 회사에 의뢰한 철저한 조사가 포함되었습니다. 주요 복구 노력에는 macOS 코드 서명 인증서 교체, 이 새로운 인증서로 모든 영향을 받는 macOS 제품의 새 빌드 발행, 그리고 이전 인증서로 서명된 소프트웨어가 새로 공증되는 것을 방지하기 위해 Apple과의 협력이 포함되었습니다. 회사는 또한 이전 인증서로 이루어진 모든 공증을 부지런히 검토하여 예상치 못한 소프트웨어 공증이 발생하지 않았음을 확인했으며, 게시된 소프트웨어가 무단 수정으로부터 자유로웠음을 검증했습니다.

이 사건의 근본 원인은 GitHub Actions 워크플로의 잘못된 구성으로 확인되었습니다. 특히, 고정된 특정 커밋 해시 대신 의존성에 대한 부동 태그를 사용한 것과 새 패키지에 대한 minimumReleaseAge가 구성되지 않은 것이 문제였습니다. GitHub Actions 공급망의 이러한 취약점으로 인해 악성 Axios 버전이 실행될 수 있었습니다. OpenAI는 이후 이 잘못된 구성을 해결하여 유사한 공급망 공격에 대한 CI/CD 파이프라인 보안을 강화했습니다. 이 사건은 모든 개발자에게 신중한 의존성 관리 및 워크플로 구성을 포함한 강력한 공급망 보안 관행을 구현해야 한다는 중요한 교훈을 상기시켜 줍니다.

사용자 신뢰 및 데이터 보호 보장

OpenAI는 이번 사건 전반에 걸쳐 사용자 정보의 보안 및 개인 정보 보호를 최우선 과제로 삼았습니다. 문제를 신속하게 공개하고 철저한 조치를 취함으로써 사용자 신뢰를 강화하는 것을 목표로 합니다. 투명성에 대한 회사의 약속은 상세한 공개 성명과 사용자 우려 사항을 직접 해결하기 위한 광범위한 FAQ 섹션 제공에서 분명히 드러납니다. 그들은 사용자 비밀번호나 OpenAI API 키가 영향을 받지 않았으며, 이 사건은 macOS 앱 서명 프로세스로 국한되었다고 확인했습니다.

2026년 5월 8일 이전 30일의 유예 기간을 두는 단계적인 인증서 취소 접근 방식 또한 사용자 중심적인 관점을 보여줍니다. 이 유예 기간은 사용자가 즉각적인 중단 없이 애플리케이션을 업데이트할 수 있도록 하여, 잠재적으로 침해된 인증서를 점진적으로 폐기하면서도 서비스의 연속성을 보장합니다. OpenAI는 오용 징후를 계속 모니터링하고 있으며, 악성 활동이 감지될 경우 취소 일정을 앞당길 것을 약속했습니다.

OpenAI macOS 사용자를 위한 주요 시사점

OpenAI의 macOS 애플리케이션의 모든 사용자에게 가장 중요한 조치는 소프트웨어를 즉시 업데이트하는 것입니다. 그렇게 함으로써 애플리케이션이 새롭고 안전한 인증서로 서명되도록 하여, 잠재적인 사칭 공격으로부터 보호하고 2026년 5월 8일 이후에도 기능이 계속 유지되도록 합니다. 항상 공식 OpenAI 채널(인앱 프롬프트 또는 공식 웹사이트)을 통해서만 업데이트를 받으십시오. 타사 소스 또는 의심스러운 링크는 피하십시오. 이번 사건은 macOS 애플리케이션의 진위 여부에 이론적인 위험을 제기했지만, OpenAI의 신속하고 포괄적인 대응으로 잠재적인 영향을 효과적으로 억제하여 사용자가 혁신적인 AI 도구를 계속해서 자신 있게 활용할 수 있게 했습니다.

원본 출처

https://openai.com/index/axios-developer-tool-compromise/

자주 묻는 질문

Were OpenAI products or user data compromised?
No. OpenAI's thorough investigation into the Axios developer tool compromise found no evidence that any OpenAI products were compromised or that user data was accessed or exposed. The company confirmed that its systems and intellectual property remained uncompromised, and its software was not altered. This incident was primarily a supply chain attack on a third-party library, and OpenAI acted out of an abundance of caution to protect its macOS applications, despite no direct impact on user information or core systems. This proactive measure ensures the continued integrity of their platform and the privacy of their users, even in the face of theoretical risks.
Have you seen malware signed as OpenAI?
OpenAI has confirmed that, as of their investigation, there is no evidence that the potentially exposed notarization and code signing materials have been misused to sign malicious software appearing as legitimate OpenAI applications. All notarization events associated with the impacted materials were reviewed and confirmed to be legitimate. While the risk of such misuse was the primary reason for their proactive response, continuous monitoring is in place to detect any unauthorized activity. Users are encouraged to remain vigilant and only download applications from official sources.
Do I need to change my password?
No, there is no need for users to change their passwords or OpenAI API keys. The security incident involving the Axios developer tool compromise did not impact user credentials or API keys. OpenAI's internal systems holding such sensitive information were not breached, and the nature of the compromise was isolated to the app-signing process for macOS applications. Users can be confident that their account security remains intact and no action is required on their part regarding credentials.
Does this affect iOS, Android, Linux, or Windows?
No, this security incident specifically affects only OpenAI's macOS applications, including ChatGPT Desktop, Codex App, Codex CLI, and Atlas. The compromise was tied to a GitHub Actions workflow used exclusively for the macOS app-signing process. Users on iOS, Android, Linux, or Windows platforms, including those accessing OpenAI services via web browsers, are not affected by this particular incident and do not need to take any action related to this advisory. The vulnerability was platform-specific due to the nature of the signing certificate's exposure.
Why are you asking me to update my Mac apps?
OpenAI is proactively requesting macOS users to update their applications due to an identified exposure within a GitHub Actions workflow that was part of the macOS app-signing process. Although there's no evidence of misuse, OpenAI is rotating its notarization and code signing certificates out of caution. Updating your Mac apps ensures they are signed with the new, secure certificate, which verifies that the software genuinely originates from OpenAI and has not been tampered with, thereby safeguarding against potential future impersonation attempts and ensuring the integrity of your installed applications.
What happens after May 8, 2026?
After May 8, 2026, older versions of OpenAI's macOS desktop applications—specifically ChatGPT Desktop (earlier than 1.2026.051), Codex App (earlier than 26.406.40811), Codex CLI (earlier than 0.119.0), and Atlas (earlier than 1.2026.84.2)—will no longer receive updates or official support. More critically, these older versions may cease to function entirely, as macOS security protections will begin to block downloads and launches of apps signed with the revoked certificate. Users are strongly advised to update before this date to maintain full functionality and security and avoid any service interruptions.
Why are you not revoking the certificate immediately?
OpenAI has chosen a phased approach to certificate revocation, implementing a 30-day window before full revocation on May 8, 2026. This decision was made to minimize disruption for users. While new notarizations with the previous certificate have already been blocked, immediate full revocation would cause macOS to block downloads and first-time launches of existing apps signed with that certificate. The grace period allows users to update their applications smoothly through built-in mechanisms, ensuring continuity of service while still mitigating risk. OpenAI is actively monitoring for misuse and is prepared to accelerate revocation if necessary.

최신 소식 받기

최신 AI 뉴스를 이메일로 받아보세요.

공유