OpenAIの社内リポジトリからの認証情報の持ち出し
- タグ
- 国外
＠ITの記事によると、OpenAIは2026年5月13日（米国時間）〔注1〕の発表で、TanStackのnpmパッケージへの侵害を起点としたマルウェアキャンペーン「Mini Shai-Hulud」により、社内端末2台で不正活動を確認したと説明した［7］。Security Affairsによると、OpenAIはセキュリティ証明書を更新するため、すべてのmacOSの利用者にアプリを最新版へ更新するよう求めた［9］。
経緯
従業員端末と社内リポジトリ
The Recordが伝えたOpenAIのブログの説明では、影響を受けた従業員2人がアクセスできた社内ソースコードリポジトリの一部で、マルウェアの公表された挙動と一致する活動を観測した［2］。観測した活動には、不正アクセスと、認証情報に焦点を当てた持ち出しが含まれる［2］。これらのリポジトリから持ち出しに成功したのは限られた認証情報だけで、ほかの情報やコードには影響が無かったことを確かめた［2］。
SecurityWeekは、OpenAIの説明として、今回の侵害は3月末のAxiosのサプライチェーン攻撃を受けて進めていた、強化した設定と認証情報への移行の途中で起きたと報じた［3］。移行を段階的に実施していたため、2台の従業員端末には、悪性パッケージのダウンロードを防げたはずの新しい設定がまだ適用されていなかった［3］。
＠ITの記事では、OpenAIはAxiosへの攻撃の後、対策を順次進めていた［7］。対策には、CI/CD（継続的インテグレーション／継続的デリバリー）環境内の認証情報の保護、パッケージ管理の設定の強化、新規パッケージの由来の確認機能の導入などがある［7］。
TanStackのパッケージへの攻撃
TanStackの事後報告によると、攻撃者はpull_request_targetを使う「Pwn Request」の型と、フォークと本体の信頼の境界をまたぐGitHub Actionsのキャッシュ汚染を組み合わせた［1］。これに、ランナーのプロセスのメモリからのOIDCトークンの抜き取りを加えて、悪性の版を公開した［1］。npmのトークンは盗まれておらず、npmの公開のワークフロー自体も侵害されていない［1］。
TanStackの説明では、悪性の版の中のスクリプトは、AWS・GCP・Kubernetes・Vault・~/.npmrc・GitHubのトークン・SSHの秘密鍵などから認証情報を集める［1］。集めた認証情報は、Session/Oxenのメッセンジャーのファイル送信網で持ち出す［1］。被害者が保守するほかのパッケージにも同じ仕込みをして再公開する［1］。
TanStackは、悪性の版を公開から20〜26分以内にStepSecurityの外部の研究者が公に検知したと説明した［1］。影響を受けた版はすべて非推奨にした［1］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | - | OpenAIのmacOSアプリの署名に使うGitHub Actionsのワークフローが、悪性のAxiosのライブラリをダウンロードした | ［4］ |
| 2026年 | OpenAI | macOSのコード署名証明書を更新した | ［4］ |
| 2026年 | 攻撃者 | 19時20分〜19時26分（UTC）に、@tanstackのnpmパッケージ42個に悪性の版84個を公開した | ［1］ |
| 2026年 | OpenAI | 異常を把握し、初動対応に入った | ［7］ |
| 2026年 | OpenAI | ブログで影響と対応を公表した（日付は米国時間） | ［2、7］ |
| 2026年 | TanStack | 3日間の点検の後に「All clear」を出し、影響を受けたのはRouter/Startのリポジトリだけとした | ［1］ |
影響範囲
＠ITは、OpenAIがFAQで、利用者のパスワードやAPIキーの流出は確認されていないと説明したと報じた［7］。
ITmedia NEWSの記事では、OpenAIは、この侵害は顧客データ、生産システム、知的財産、デプロイ済みのソフトウェアに影響を与えなかったと述べた［6］。
対応と現状
OpenAIは自社サイトに、TanStackのnpmパッケージへのサプライチェーン攻撃への対応を説明する投稿を掲載した［8］。
The Recordの記事では、OpenAIは影響を受けたシステムを隔離し、ユーザーのセッションを失効させ、認証情報を更新したうえで、利用者と認証情報の挙動を「徹底的に精査した」［2］。調査と封じ込めのために、インシデント対応企業も雇った［2］。
＠ITは、初動の措置にコード配備の工程の制限も含まれると報じた［7］。
署名証明書の更新
The Hacker Newsによると、影響を受けたリポジトリにiOS・macOS・Windowsの製品の署名証明書〔注2〕が含まれていたため、OpenAIは証明書を失効させ、新しい証明書を発行した［4］。旧証明書は6月12日に失効させる予定で、以後、旧証明書で署名したアプリの新規のダウンロードと起動はmacOSの組み込みの保護が阻む［4］。WindowsとiOSのアプリでは、利用者の対応は要らないと説明した［4］。
The Recordが伝えたOpenAIの説明では、新たな公証（notarization）を止めて証明書の不正使用を防ぐため、ほかのプラットフォームと調整している［2］。旧証明書を使ったすべてのソフトウェアの公証を見直して想定外の署名が無いことを確かめ、公開済みのソフトウェアに無許可の改変が無いことも検証した［2］。既存のインストールへの侵害や危険の証拠は見つかっていない［2］。影響を受けた証明書を使ってOpenAIを装う偽アプリは、利用者が保護を明示的に回避しない限り、macOSが既定で阻む［2］。
SecurityWeekは、OpenAIが更新の目的を、可能性は低くても、OpenAIのものに見える偽のアプリを誰かが配布しようとする危険を防ぐためと説明したと報じた［3］。
The Recordの記事では、期限を過ぎるとmacOSのOpenAIのアプリは更新やサポートを受けられず、サービスが機能しないことがある［2］。
＠ITは、OpenAIがFAQで、旧証明書をすぐに失効させない理由として、急な無効化で正常な利用者に混乱が生じるおそれを挙げたと報じた［7］。
The Hacker Newsの記事では、OpenAIがmacOSのコード署名証明書を更新するのは2か月で2度目だった［4］。
未公表の事項
- 従業員端末に入ったTanStackのパッケージと版、入った経路
- 持ち出された認証情報の種類と件数
- 影響を受けた社内ソースコードリポジトリの数
- 制限したコード配備の工程を元に戻した時期
- 予定日に旧証明書を失効させたかどうか
注
出典
当事者
- ［8］OpenAI『Our response to the TanStack npm supply chain attack』（2026年5月13日公開、保存記録のみ） 保存記録
関係組織
- ［1］TanStack『Postmortem: TanStack npm supply-chain compromise』（2026年5月11日公開、2026年5月15日更新）
報道機関
- ［2］Recorded Future News『OpenAI asks macOS users to update after TanStack npm supply chain attack』（2026年5月14日公開）
- ［3］Wired Business Media『OpenAI Hit by TanStack Supply Chain Attack』（2026年5月15日公開）
- ［4］The Hacker News『TanStack Supply Chain Attack Hits Two OpenAI Employee Devices, Forces macOS Updates』（2026年5月15日公開）
- ［5］Daily CyberSecurity『OpenAI Forces Code Signing Certificate Rotation After TanStack Supply Chain Breach』（2026年5月15日公開）
- ［6］アイティメディア株式会社『OpenAI、サプライチェーン攻撃で従業員2人の端末が侵害 macOSユーザーは6月12日までにアプリ更新を』（2026年5月15日公開）
- ［7］アイティメディア株式会社『OpenAIがサプライチェーン侵害「Mini Shai-Hulud」の被害を公表：macOS版に異例の更新要求』（2026年5月18日公開）
- ［9］Security Affairs『OpenAI hit by supply chain attack linked to malicious TanStack packages』（2026年5月16日公開）
更新記録
- 2026年5月21日：公開した。