Une attaque supply chain a compromis deux appareils d’employés d’OpenAI le 11 mai 2026. Des identifiants internes ont été volés, mais aucune donnée utilisateur ni propriété intellectuelle n’a été affectée.
L’incident s’inscrit dans une vague d’attaques ciblant les chaînes d’approvisionnement logicielles, et oblige les utilisateurs macOS d’OpenAI à agir avant une date butoir précise. Voici ce que l’on sait.
Une brèche limitée, mais aux conséquences concrètes
Le 11 mai 2026 UTC, TanStack, une bibliothèque open source très utilisée, a été compromise dans le cadre d’une attaque plus large de la chaîne d’approvisionnement logicielle connue sous le nom de « Mini Shai-Hulud ». Deux appareils d’employés d’OpenAI, situés dans l’environnement informatique interne de l’entreprise, ont été touchés.
OpenAI a confirmé avoir immédiatement lancé une investigation, fait appel à une société tierce spécialisée en forensics numérique, puis contenu l’incident. L’entreprise a observé une activité conforme au comportement décrit publiquement du malware, incluant un accès non autorisé et une exfiltration ciblant les identifiants, dans un sous-ensemble limité de dépôts de code source interne auxquels les deux employés affectés avaient accès. (We observed activity consistent with the malware’s publicly described behavior, including unauthorized access and credential-focused exfiltration activity, in a limited subset of internal source code repositories to which the two impacted employees had access.)
Seul un volume limité de données d’identification a été extrait avec succès de ces dépôts, et aucune autre information ou ligne de code n’a été affectée. OpenAI a précisé n’avoir trouvé aucune preuve que les données des utilisateurs, les systèmes de production ou la propriété intellectuelle de l’entreprise aient été compromis.
Ce que les utilisateurs macOS doivent faire avant le 12 juin 2026
Le point le plus tangible pour les utilisateurs concerne les certificats de signature de code. Les clés de signature pour Windows, macOS, iOS et Android ont été affectées par cet incident. Toutes les applications d’OpenAI sont en cours de re-signature et seront publiées avec de nouveaux certificats.
Une fois le certificat actuel entièrement révoqué le 12 juin 2026, les nouvelles installations et les lancements d’applications signées avec l’ancien certificat seront bloqués par les protections de sécurité de macOS. Les utilisateurs Windows et iOS ne sont pas concernés et n’ont pas d’action à effectuer.
Les applications macOS concernées par cette obligation de mise à jour sont les suivantes :
ChatGPT Desktop (dernière version signée avec l’ancien certificat : 1.2026.125)
Codex App (26.506.31421)
Codex CLI (0.130.0)
Atlas (1.2026.119.1)
OpenAI conseille aux utilisateurs de procéder à la mise à jour via les mécanismes de mise à jour intégrés aux applications ou depuis les pages de téléchargement officielles. L’entreprise met également en garde contre toute installation d’application provenant de liens reçus par e-mail, message, publicité ou site tiers. OpenAI n’a détecté aucune application malveillante signée avec ses certificats compromis.
Comment TanStack a été compromis en six minutes
Pour comprendre comment OpenAI a été touché, il faut revenir sur le mécanisme de l’attaque initiale contre TanStack. Le 11 mai 2026 entre 19h20 et 19h26 UTC, un attaquant a publié 84 versions malveillantes à travers 42 paquets npm de la famille @tanstack/* en combinant trois techniques : l’abus du déclencheur pull_request_target (appelé « Pwn Request »), un empoisonnement du cache GitHub Actions à travers la frontière de confiance fork/base, et l’extraction en mémoire d’un token OIDC depuis le processus du runner GitHub Actions.
Aucun token npm n’a été volé et le pipeline de publication npm de TanStack lui-même n’a pas été compromis. L’attaquant a exploité la confiance implicite du système de cache pour que le pipeline légitime du projet publie lui-même les paquets malveillants. Tanner Linsley, fondateur de TanStack, a résumé la situation dans le post-mortem publié sur le site officiel de TanStack : « Il est clair qu’aucun mainteneur n’a été victime de phishing, de fuite de mot de passe ou de vol de token sur son compte. L’attaquant a réussi à créer un chemin par lequel notre propre pipeline CI a volé son propre token de publication pour lui, au moment précis où il était créé, via un cache que tout le monde dans la chaîne faisait confiance implicitement. » (Just to be clear, no maintainer was phished, had a password leak, or a token stolen from their account. The attacker managed to engineer a path where our own CI pipeline stole its own publish token for them, at the exact moment it was created, by way of a cache that everyone in the chain implicitly trusted.)
Les versions malveillantes ont été détectées publiquement dans un délai de 20 à 26 minutes par un chercheur externe, ashishkurmi, travaillant pour la société stepsecurity. Toutes les versions affectées ont depuis été dépréciées sur npm.
Mini Shai-Hulud : une campagne qui dépasse largement OpenAI
OpenAI n’est pas la seule victime de cette vague. Une compromission critique de la chaîne d’approvisionnement a été signalée le 12 mai 2026, affectant TanStack, Mistral AI, UiPath et plus de 160 paquets npm et PyPI supplémentaires. Cette attaque, attribuée au groupe TeamPCP et baptisée « Mini Shai-Hulud », permet aux attaquants de voler des identifiants et de se propager automatiquement dans l’écosystème npm.
Mistral AI a confirmé dans une mise à jour de son avis de sécurité avoir également été affectée par la compromission de TanStack, entraînant la publication de versions piégées de ses SDK npm et PyPI. Un seul appareil de développeur a été impacté et aucun élément ne suggère que son infrastructure ait été compromise.
Cette attaque constitue la troisième vague documentée de TeamPCP, après la compromission de paquets npm SAP fin avril 2026 et celle de PyTorch Lightning le 30 avril 2026. Le groupe, qui s’est lui-même fait pirater par d’autres acteurs malveillants début mai, a depuis annoncé un concours public invitant d’autres pirates à utiliser son outil « Shai-Hulud » contre des projets open source, offrant des récompenses en Monero.
L’attaque contre TanStack n’est par ailleurs pas un incident isolé dans le temps. En mars 2026, des hackers nord-coréens avaient pris le contrôle de la bibliothèque Axios, compromise par le groupe UNC1069. C’est précisément cet incident qui avait conduit OpenAI à commencer le renforcement de ses propres protections, quelques semaines avant d’être à son tour visé.
OpenAI rattrapé par un déploiement de sécurité incomplet
L’un des éléments les plus instructifs de cet incident concerne le calendrier des mesures de protection d’OpenAI. Après l’incident Axios, OpenAI avait accéléré le déploiement de contrôles et de technologies de sécurité spécifiques destinés à réduire l’impact des attaques supply chain. Ces mesures comprenaient notamment un renforcement des identifiants sensibles dans le pipeline CI/CD, le déploiement de configurations de gestionnaires de paquets avec des contrôles comme minimumReleaseAge, et l’ajout de logiciels de sécurité pour valider la provenance des nouveaux paquets.
Cet incident s’est produit pendant le déploiement progressif de ces contrôles. Les deux appareils affectés ne disposaient pas encore des configurations mises à jour qui auraient empêché le téléchargement du nouveau paquet contenant le malware. En d’autres termes, les protections existaient mais n’avaient pas encore été appliquées sur les machines concernées.
OpenAI a tiré de cette expérience une conclusion plus large, publiée dans son billet de blog officiel : « Cet incident reflète une évolution plus large du paysage des menaces : les attaquants ciblent de plus en plus les dépendances logicielles partagées et les outils de développement plutôt qu’une seule entreprise. » (This incident reflects a broader shift in the threat landscape: attackers are increasingly targeting shared software dependencies and development tooling rather than any single company.)
Pour les développeurs, les entreprises et les utilisateurs d’applications basées sur des écosystèmes open source, cet épisode rappelle que la surface d’attaque ne se limite plus aux périmètres internes. Le logiciel moderne est construit sur un écosystème profondément interconnecté de bibliothèques open source, de gestionnaires de paquets et d’infrastructures CI/CD, ce qui signifie qu’une vulnérabilité introduite en amont peut se propager largement et rapidement à travers les organisations. Pour les utilisateurs macOS d’OpenAI, la priorité immédiate reste simple : mettre à jour leurs applications avant le 12 juin 2026 pour éviter toute interruption de service.
Aucun commentaire pour l’instant — lancez la discussion !