«أوبن إيه آي» تكشف تفاصيل اختراق «Axios» ضمن هجوم سيبراني واسع

فينتك جيت: مصطفى عيد

أعلنت شركة «OpenAI» أنها رصدت مشكلة أمنية مرتبطة بأداة تطوير تابعة لجهة خارجية تُدعى Axios، وذلك ضمن حادثة أوسع تم الإبلاغ عنها على مستوى قطاع البرمجيات، مؤكدة أنها لم تجد أي دليل على تسريب بيانات المستخدمين أو اختراق أنظمتها أو تعديل برمجياتها.

وقالت الشركة إنها اتخذت إجراءات احترازية لحماية عملية اعتماد تطبيقاتها على نظام macOS، بما يشمل تحديث شهادات الأمان الخاصة بها، وهو ما يتطلب من جميع مستخدمي تطبيقات OpenAI على أجهزة ماك التحديث إلى أحدث الإصدارات المتاحة، بهدف منع أي مخاطر محتملة تتعلق بانتحال هوية التطبيقات الرسمية.

وأوضحت OpenAI أن هذا التحديث يهدف إلى ضمان أن التطبيقات الموزعة تحمل شهادة التوقيع الرقمي الصحيحة التي تثبت أنها صادرة من الشركة بشكل رسمي، مع إمكانية التحديث الآمن عبر التحديث داخل التطبيق أو من خلال الروابط الرسمية الخاصة بتطبيقات مثل ChatGPT Desktop وCodex App وCodex CLI وAtlas.

وأكدت الشركة أن أمن وخصوصية المستخدمين يمثلان أولوية قصوى، مشيرة إلى أنها تتعامل مع الحادثة بشفافية كاملة وتتخذ إجراءات سريعة عند ظهور أي تهديدات محتملة.

تفاصيل الحادثة والإجراءات المتخذة

ووفقًا لبيان الشركة، ففي 31 مارس 2026 (بتوقيت UTC)، تم اختراق مكتبة Axios المستخدمة على نطاق واسع من المطورين كجزء من هجوم أكبر على سلسلة توريد البرمجيات. وخلال ذلك، قام نظام GitHub Actions المستخدم في عملية توقيع تطبيقات macOS بتنزيل وتشغيل نسخة خبيثة من Axios بالإصدار 1.14.1.

وأوضحت الشركة أن هذا النظام كان يمتلك صلاحيات مرتبطة بشهادة توقيع واعتماد تطبيقات macOS، بما في ذلك تطبيقات ChatGPT Desktop وCodex وCodex-cli وAtlas، وهي الشهادة التي تُستخدم لإثبات أن البرمجيات صادرة فعليًا من OpenAI.

وأضافت التحليلات الأولية أن شهادة التوقيع التي كانت موجودة داخل سير العمل لم يُثبت على الأرجح أنه تم تسريبها فعليًا بسبب توقيت تنفيذ الهجوم وتسلسل العمليات، إلا أن الشركة قررت التعامل معها على أنها معرضة للخطر كإجراء احترازي، وقامت بإلغائها واستبدالها بشهادة جديدة.

وأشارت OpenAI إلى أنه اعتبارًا من 8 مايو 2026، لن تتلقى الإصدارات القديمة من تطبيقاتها على macOS أي تحديثات أو دعم، وقد تتوقف عن العمل، وتشمل هذه الإصدارات:

ChatGPT Desktop: 1.2026.051
Codex App: 26.406.40811
Codex CLI: 0.119.0
Atlas: 1.2026.84.2

التحقيق والمعالجة

وأكدت الشركة أنها استعانت بجهة خارجية متخصصة في التحقيقات الرقمية والاستجابة للحوادث، إلى جانب تدوير شهادات توقيع الكود الخاصة بتطبيقات macOS، وإصدار نسخ جديدة موقعة بالشهادة الحديثة، والتنسيق مع شركة «Apple» لمنع إعادة اعتماد البرمجيات الموقعة بالشهادة القديمة.

كما قامت بمراجعة جميع عمليات الاعتماد السابقة للتأكد من عدم وجود أي استخدام غير متوقع للشهادات المخترقة، والتحقق من أن البرمجيات المنشورة لم يتم تعديلها دون تصريح، مؤكدة عدم وجود أي دليل على اختراق فعلي أو تهديد قائم للتثبيتات الحالية.

وأوضحت الشركة أنه في حال تمكن طرف خبيث من استغلال الشهادة، فقد يمكنه توقيع برمجيات خبيثة لتبدو وكأنها صادرة من OpenAI، إلا أنه تم بالفعل إيقاف عمليات الاعتماد الجديدة باستخدام الشهادة القديمة، بما يمنع تمرير أي تطبيقات مزيفة عبر أنظمة الحماية في macOS.

وبعد تاريخ 8 مايو 2026، سيتم حظر تشغيل أو تنزيل أي تطبيقات موقعة بالشهادة القديمة عبر أنظمة الحماية في نظام التشغيل.

سبب المشكلة

وأرجعت الشركة السبب الجذري للحادث إلى خطأ في إعدادات سير العمل داخل GitHub Actions، حيث تم استخدام علامة إصدار غير ثابتة (floating tag) بدلًا من رقم إصدار محدد، إلى جانب عدم ضبط حد أدنى لوقت إصدار الحزم (minimumReleaseAge)، وهو ما سمح بحدوث هذا الخلل.

أسئلة شائعة

وأكدت OpenAI أنها لم ترصد أي اختراق لمنتجاتها أو بيانات المستخدمين، كما لم يتم اكتشاف أي برمجيات خبيثة موقعة باسمها، ولم يتم رصد أي إساءة استخدام لشهادات التوقيع.

كما شددت على أن كلمات المرور ومفاتيح واجهة البرمجة (API Keys) لم تتأثر بالحادث، وأن التأثير يقتصر فقط على تطبيقات macOS دون أن يشمل أنظمة iOS أو Android أو Linux أو Windows، كما لا يشمل النسخ المعتمدة على الويب.

وأضافت أن المستخدمين غير مطالبين بتغيير كلمات المرور، وإنما فقط تحديث تطبيقات macOS إلى أحدث إصدار عبر القنوات الرسمية، محذرة من تحميل أي تطبيقات من روابط غير موثوقة أو رسائل بريد أو إعلانات أو مواقع طرف ثالث.

وأوضحت الشركة أن التأخير في سحب الشهادة بشكل فوري يأتي بهدف تقليل تعطّل المستخدمين، ومنحهم فترة انتقالية مدتها 30 يومًا للتحديث، مع إمكانية تسريع الإجراء في حال رصد أي نشاط خبيث خلال هذه الفترة.

في هذا السياق، ومن ناحية أخرى، هناك العديد من الأخبار المرتبطة بالقطاع والتي يمكنك متابعتها. على سبيل المثال:

• تحالف يضم «أوبن إيه آي» و«جوجل» و«أنثروبيك» و«مايكروسوفت» لمواجهة «ديب سيك»
• «أوبن إيه آي» تجمع 122 مليار دولار وتصل بتقييمها إلى 852 مليار دولار لتعزيز ريادتها في الذكاء الاصطناعي
• «أوبن إيه آي» ستعرض إعلانات على «شات جي بي تي»