OpenAI révoque activement le certificat et renforce l'application, les données utilisateur confirmées intactes dans l'incident Axios

fr.wedoany.com Rapport : Le 10 avril 2026, OpenAI a publié une déclaration officielle de sécurité confirmant qu'elle avait lancé un mécanisme de réponse complet suite à l'incident de falsification de la bibliothèque de développement tierce Axios, révoquant et renouvelant activement les certificats de signature de code macOS affectés. La déclaration souligne qu'aucune preuve n'a été trouvée indiquant que les données utilisateur d'OpenAI aient été consultées, que les systèmes aient été compromis ou que les logiciels aient été altérés.

Le 31 mars 2026, la bibliothèque de développement tierce largement utilisée Axios a été falsifiée dans le cadre d'une attaque sur la chaîne d'approvisionnement logicielle. Un flux de travail GitHub Actions utilisé par OpenAI dans son processus de signature d'applications macOS a téléchargé et exécuté une version malveillante d'Axios (version 1.14.1). L'analyse a révélé que, compte tenu du moment d'exécution de la charge utile, de la méthode d'injection du certificat et de l'ordre des tâches, il est très probable que le certificat de signature n'ait pas été divulgué avec succès. Par principe de précaution élevé, OpenAI a néanmoins considéré ce certificat comme compromis et a immédiatement lancé un processus de révocation et de renouvellement, bloquant ainsi tout risque potentiel.

OpenAI a terminé la re-signature et la publication de tous les produits macOS affectés, utilisant un nouveau certificat pour garantir l'intégrité du logiciel. Les applications nécessitant une mise à jour vers les versions spécifiées incluent : ChatGPT Desktop 1.2026.071, Codex App 26.406.40811, Codex CLI 0.119.0, Atlas 1.2026.84.2. À partir du 8 mai 2026, les anciennes versions des applications de bureau macOS ne recevront plus de mises à jour ni de support. OpenAI a également engagé une société tierce d'enquête numérique et de réponse aux incidents pour mener l'enquête et a collaboré avec Apple pour garantir que les logiciels signés avec l'ancien certificat ne puissent plus obtenir de nouvelle notarisation, empêchant ainsi la distribution d'applications contrefaites à la source.

OpenAI a déclaré que cette action de réponse proactive visait à maintenir la confiance des utilisateurs et la sécurité de la chaîne d'approvisionnement logicielle. Les utilisateurs peuvent effectuer la mise à jour en toute sécurité via les mises à jour intégrées ou les canaux officiels. La déclaration indique que l'exigence pour tous les utilisateurs macOS de mettre à jour vers la dernière version aide à se prémunir contre tout risque de distribution d'applications contrefaites se faisant passer pour OpenAI.