OpenAI vervangt certificaten na Axios-incident
In dit artikel:
OpenAI heeft uit voorzorg zijn macOS-signeringscertificaten ingetrokken en vervangen nadat op 31 maart 2026 een kwaadaardige versie van de veelgebruikte Axios-library werd verspreid als onderdeel van een bredere softwareketenaanval. De gemanipuleerde Axios-release was opgehaald door een geautomatiseerd GitHub Actions-proces dat OpenAI gebruikt om macOS-apps te ondertekenen; dat proces had toegang tot de certificaten die software als afkomstig van OpenAI herkenbaar maken.
Hoewel OpenAI geen aanwijzingen heeft gevonden dat gebruikersdata of interne systemen daadwerkelijk zijn gecompromitteerd, behandelt het bedrijf het incident alsof misbruik mogelijk is geweest en heeft het alle macOS-applicaties opnieuw uitgebracht met nieuwe certificaten. Gebruikers moeten hun OpenAI-apps op macOS bijwerken via de applicatie zelf of via officiële downloadpagina’s; versies met het oude certificaat krijgen vanaf 8 mei 2026 geen updates meer en kunnen mogelijk niet meer werken. OpenAI werkt ook samen met Apple om te zorgen dat software onder het oude certificaat niet langer wordt vertrouwd.
Een extern forensisch team werd ingeschakeld en OpenAI voerde extra controles uit op alle ondertekende software; tot nu toe zijn er geen sporen dat producten zijn aangepast of dat gegevens zijn ingezien. Volgens het bedrijf veroorzaakte een configuratiefout in het geautomatiseerde buildproces het probleem: een ‘floating tag’ in plaats van een vaste versie verwijzing liet het onbedoeld toe een gemanipuleerde dependency te laden. Die workflow is inmiddels aangepast om herhaling te voorkomen.
Onderzoekers en berichtgeving linken de campagne achter deze supply-chain manipulaties aan een Noord-Koreaanse groep die via social engineering toegang tot ontwikkelaarsaccounts verkreeg, valse samenwerkingsverzoeken gebruikte en zo kwaadaardige code in open source-projecten kon publiceren. Het voorval benadrukt opnieuw de kwetsbaarheid van moderne ontwikkelketens en waarom code- en build-integriteit, strengere toegangscontrole en verzorgde dependencybeheer cruciaal zijn. OpenAI zegt de situatie actief te monitoren en zal, indien nodig, verdere intrekkingen of mitigaties versnellen.