本周五，人工智能巨頭OpenAI披露了一起安全事件，稱其內(nèi)部工具下載了被惡意篡改的合法開源軟件庫更新。據(jù)Google方面指出，此次大規(guī)模黑客攻擊活動與一個朝鮮黑客組織存在密切聯(lián)系。

OpenAI在周五晚間發(fā)布的博客文章中詳細(xì)說明了情況。3月31日，黑客劫持了一名開發(fā)人員的賬戶，并向廣泛使用的JavaScript HTTP請求庫Axios（注：該庫與新聞媒體Axios無關(guān)）發(fā)布了兩個受感染的更新。在異常被發(fā)現(xiàn)之前，OpenAI用于為MacOS應(yīng)用程序簽署證書的GitHub工作流程不幸下載了該惡意更新。

該公司指出，包括ChatGPT、Atlas和Codex在內(nèi)的MacOS應(yīng)用程序用戶可能會受到此次事件的影響。這一攻擊的潛在威脅在于，黑客一旦獲得系統(tǒng)的訪問權(quán)限并竊取相關(guān)證書，便能制造出擁有合法后端證書的偽造OpenAI應(yīng)用程序。這些偽造應(yīng)用具有極強(qiáng)的迷惑性，足以欺騙設(shè)備和蘋果App Store，使其誤認(rèn)為那是官方正版。

盡管潛在風(fēng)險較高，但OpenAI明確表示，目前尚未發(fā)現(xiàn)任何黑客利用竊取證書發(fā)布偽造應(yīng)用的實際案例，也沒有任何證據(jù)表明用戶的個人數(shù)據(jù)、公司的知識產(chǎn)權(quán)或內(nèi)部核心系統(tǒng)遭到了破壞。此外，iOS、Android、Windows及其他平臺的應(yīng)用程序目前均未發(fā)現(xiàn)受到波及的跡象。

業(yè)內(nèi)分析認(rèn)為，這起事件凸顯了一個新的安全現(xiàn)狀：如今的人工智能公司不僅面臨著針對AI技術(shù)的特定威脅，同時也已成為傳統(tǒng)軟件供應(yīng)鏈攻擊的重點(diǎn)狩獵對象。

出于安全和謹(jǐn)慎考慮，OpenAI宣布將于5月8日正式停止對舊版MacOS應(yīng)用程序的支持。公司為用戶提供了為期30天的更新窗口期，若逾期未更新，因相關(guān)證書被吊銷，舊版應(yīng)用可能會被阻止進(jìn)行新的下載和首次啟動。目前，該安全事件仍在持續(xù)跟進(jìn)與發(fā)展中。