OpenAI 回应 TanStack 供应链攻击：未发现用户数据泄露
一句话看懂：针对近期波及开源库 TanStack 及多个 npm 包的“Mini Shai-Hulud”供应链攻击，OpenAI 于 5 月 14 日发布官方声明，确认其核心服务未被攻破，内部系统审查未发现用户数据泄露或遭非法访问。但为防范本地环境风险，OpenAI 要求所有 macOS 用户必须在 2026 年 6 月 12 日前完成软件更新。
事件核心：发生了什么
此次攻击针对的是前端开发中广泛使用的开源工具集 TanStack。所谓“供应链攻击”，是指攻击者将恶意代码植入开发者常用的底层工具或软件包，借此渗透使用这些工具的大型平台。OpenAI 在检测到针对 TanStack 和多个 npm 包的恶意攻击后，安全团队迅速启动了内部系统审查。截至声明发布，调查结果显示没有任何用户数据泄露的证据。尽管 OpenAI 的核心服务本身未受此次攻击影响，但公司仍发布了重要安全提醒，要求所有使用其官方应用的 macOS 用户在截止日期前完成更新，以确保终端安全、抵御潜在风险。
为什么重要
此次事件凸显了 AI 公司乃至整个科技行业在开源依赖上的安全脆弱性。OpenAI 作为全球用户量最大的 AI 平台之一，其开发流程同样依赖大量开源库，这将供应链安全从一个后端运维问题，上升为直接影响数亿用户隐私的关键防线。TanStack 作为前端生态中的流行工具，其被攻破意味着大量使用该库的应用程序都可能成为潜在的跳板。OpenAI 快速但不放松警惕的回应，为行业处理类似第三方依赖风险树立了一个可供参考的响应模板——即在未造成实际数据泄露时，依然主动要求用户更新，将防御重心前移。
对用户/开发者/创作者的影响
对于普通用户，OpenAI 的声明意味着当前使用其服务（如 ChatGPT）时账户数据安全尚未受到此次攻击的直接影响。但 macOS 用户应高度重视 6 月 12 日的更新截止日，未更新客户端可能面临本地环境中的潜在攻击风险。对于开发者，尤其是前端和 Node.js 生态的从业者，这一事件是一个强烈的提醒：npm 包的供应链攻击不再是理论威胁。开发者需要检查自身项目是否依赖 TanStack 及相关受影响包，并及时升级依赖版本。对于使用 OpenAI API 构建应用的开发者来说，应关注 OpenAI 后续是否会发布针对第三方依赖安全的更详细指南或工具。
AI 工具推荐
想把多个 AI 模型放在一个入口？
GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。
推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。
值得关注的后续
首先，OpenAI 与安全研究人员的合作结果值得关注——他们如何强化对第三方依赖的监控机制，以及是否会将其部分安全工具或经验开源，从而赋能更广泛的开发者社区。其次，macOS 更新是否包含针对本次攻击漏洞的具体修复代码，还是仅做预防性加固，需要官方进一步披露。最后，目前公开信息显示，攻击者植入恶意代码的具体功能和意图仍未完全公开，后续若有更多关于攻击者意图或数据窃取行为的调查进展，将对评估此次事件的真实影响等级至关重要。
来源：AIbase
