OpenAI: Kein Nutzerdatenverlust nach Supply-Chain-Angriff auf TanStack

OpenAI hat am Mittwoch mitgeteilt, dass nach einem Sicherheitsvorfall im Zusammenhang mit einem Supply-Chain-Angriff keine Nutzerdaten kompromittiert wurden. Betroffen war die weit verbreitete Open-Source-Bibliothek TanStack npm, die Anfang der Woche angegriffen worden war. Der ChatGPT-Entwickler betonte, es gebe keine Hinweise darauf, dass Produktionssysteme oder geistiges Eigentum beeinträchtigt wurden.

Konkret waren zwei Mitarbeitergeräte im Unternehmensnetzwerk von dem Vorfall betroffen. Aus den zugehörigen Code-Repositories wurden laut OpenAI in begrenztem Umfang Zugangsdaten entwendet. Weitere Informationen oder Quellcode seien jedoch nicht abgeflossen, so das Unternehmen.

Was ist ein Supply-Chain-Angriff?

Bei einem Supply-Chain-Angriff greifen Cyberkriminelle nicht das Zielunternehmen direkt an, sondern kompromittieren eine Software-Bibliothek oder ein Tool, das von vielen Entwicklern genutzt wird. TanStack ist eine populäre Open-Source-Bibliothek, die in zahlreichen Softwareprojekten weltweit zum Einsatz kommt. Durch die Manipulation einer solchen Bibliothek können Angreifer potenziell viele Unternehmen gleichzeitig treffen – ein besonders heimtückisches Angriffsmuster.

OpenAI reagierte nach eigenen Angaben unmittelbar auf den Vorfall und ergriff mehrere Schutzmaßnahmen:

• Die betroffenen Systeme wurden sofort isoliert
• Die Workflows zur Code-Bereitstellung wurden vorübergehend eingeschränkt
• Code-Signing-Zertifikate werden ausgetauscht

Handlungsbedarf für macOS-Nutzer

Der Austausch der Code-Signing-Zertifikate hat direkte Auswirkungen auf Endnutzer: macOS-Anwender sind verpflichtet, ihre OpenAI-Anwendungen zu aktualisieren. Dieser Schritt ist notwendig, um die Vertrauenskette in der Software-Signierung wiederherzustellen und die Sicherheit der Anwendungen zu gewährleisten.

OpenAI reagierte zunächst nicht auf eine Anfrage der Nachrichtenagentur Reuters nach weiteren Details zu dem Vorfall. Das Unternehmen hatte den Vorfall jedoch proaktiv kommuniziert und die ergriffenen Gegenmaßnahmen transparent dargelegt.

Der Vorfall unterstreicht die wachsende Bedrohung durch Supply-Chain-Angriffe in der Softwarebranche. Gerade für KI-Unternehmen wie OpenAI, die im Mittelpunkt des öffentlichen Interesses stehen, sind solche Sicherheitsvorfälle besonders heikel. Die schnelle Reaktion und die klare Kommunikation, dass keine Nutzerdaten betroffen sind, dürfte das Vertrauen der Nutzer in den ChatGPT-Betreiber stützen.