开源世界的蝴蝶效应，又一次在现实中上演。这次，一家名为TanStack的开源库遭遇供应链攻击，其涟漪竟波及到了AI领域的明星产品——ChatGPT的Mac桌面应用。
事情要从5月11日说起。TanStack开源库遭遇了一场名为“Mini Shul-Hulud”的供应链攻击。这场攻击的余波，意外地“扫”到了OpenAI。根据OpenAI在5月14日发布的公告，公司内部有两台员工设备受到了此次事件的影响。发现问题后，OpenAI的反应相当迅速，不仅立即启动了内部调查，还聘请了第三方的数字取证与事件响应专家介入，力求摸清所有潜在风险。
经过一番彻查，情况比预想的要可控。受影响的，仅限于这两名员工有权访问的内部源代码仓库的某个子集。好消息是，黑客最终得手的内容非常有限，主要是一些凭证材料。公司的核心代码和其他敏感信息，并未在这次事件中泄露。
但问题恰恰出在这些被窃取的凭证上。它们具备一个关键能力：为OpenAI的产品签署证书。这就好比有人拿到了你公司公章的一部分权限。为了彻底消除隐患，OpenAI做出了一个果断的决定：撤销现有的相关证书，并阻止所有使用旧证书签名的应用程序继续运行。
这个决定，直接关系到每一位Mac版ChatGPT桌面应用的用户。如果你正在使用这款应用，那么务必留意近期的更新提示，并在收到后立即完成升级。OpenAI设定了最后期限：所有用户必须在6月12日之前完成更新。逾期未更新的应用，将因证书失效而无法启动。不过，Windows和iOS版本的用户无需担心，你们的应用不受此次事件影响，照常使用即可。
OpenAI在公告中特别强调，截至目前，没有任何证据表明用户的个人数据在此次事件中被访问，公司自身的核心系统也未被入侵。除了撤销证书，公司也已采取了其他遏制措施，并持续监控系统状态。同时，他们承诺将为Mac用户提供更详细的操作指引，确保过渡过程平稳顺利。
这次事件再次给整个行业提了个醒：在高度依赖开源生态的今天，供应链安全已成为一个不容忽视的全局性挑战。任何一个环节的微小裂缝，都可能引发意想不到的连锁反应。
