데브옵스
TanStack npm 공급망 공격에 대한 OpenAI의 대응
Our response to the TanStack npm supply chain attack
두줄요약
OpenAI는 TanStack npm 공급망 공격 이후 사용자 데이터와 제품 침해 증거가 없다고 밝혔습니다. macOS 앱 사용자는 새 인증서 적용을 위해 2026년 6월 26일까지 업데이트해야 합니다.
핵심 발표
- TanStack npm을 악용한 Mini Shai-Hulud 공급망 공격 대응 내용 공개
- OpenAI 사용자 데이터, 제품, 지식재산권 또는 게시 소프트웨어의 변조 증거 미확인
- macOS 애플리케이션 업데이트 기한을 2026년 6월 26일로 연장
주요 변화
- 영향받은 시스템·ID 격리, 사용자 세션 철회, 영향 저장소 자격 증명 전체 교체
- 제품 코드 서명 인증서 교체 및 이전 인증서 기반 신규 macOS 공증 차단
- CI/CD 민감 자격 증명 보호 강화, minimumReleaseAge를 포함한 패키지 관리자 제어와 패키지 출처 검증 도입
개발자 영향
- 두 직원 기기에 영향 발생, 해당 직원 접근 범위의 일부 내부 소스 코드 저장소에서 자격 증명 중심 유출 활동 관찰
- 제한된 자격 증명 자료만 유출 확인, 영향 자격 증명 악용 또는 후속 공격자 접근 증거 미확인
- 고객·사용자 비밀번호와 API 키 영향 없음
사용 방법·가용성
- macOS용 ChatGPT Desktop, Codex App, Codex CLI, Atlas를 2026년 6월 26일까지 인앱 업데이트 또는 공식 웹페이지에서 업데이트 권고
- Windows 및 iOS 앱 사용자 조치 불필요
- 이메일·메시지·광고·제3자 다운로드 사이트의 설치 프로그램 미설치 권고
