OpenAI, yapay zeka alanında önemli bir aktör olarak TanStack kütüphanesini hedef alan bir tedarik zinciri saldırısının ardından iki çalışanın cihazlarına yönelik sızmanın gerçekleştiğini doğruladı. Yapılan incelemeler, kullanıcı verilerine erişim veya kritik fikri mülkiyetin tehlikeye girdiğine dair net bir kanıt bulmadığını gösteriyor.
Saldırganlar, geliştiricilerin web uygulamaları geliştirmesini kolaylaştıran bu popüler açık kaynaklı platforma yöneldi ve TanStack yönetimi, olay sırasında yalnızca kısa bir sürede 84 adet kötü niyetli yazılım sürümünün enjekte edildiğini belirtti; süreç hızlıca fark edilerek kontrol altına alındı.
OpenAI, etkilenen iki görevin yetkili hesaplarına sınırlı bir iç kaynak kodu deposuna yetkisiz erişim sağlandığını açıkladı ve kimlik bilgisi hırsızlığı yaşandığını belirtti. Yetkililer, depolardaki kimlik bilgisi materyallerinin sınırlı miktarda sızdırıldığını ifade ediyor. Bu olayın ardından güvenlik protokolleri güçlendirilirken, etkilenen depolarda kullanılan dijital sertifikaların tamamen yenilenmesi kararı alındı.
Yenileme süreci, macOS kullanıcılarının uygulamaları güncellemesini gerektirecek adımları da kapsıyor. OpenAI, mevcut kurulumlarda aktif bir risk ya da tehdit bulunmadığını ve altyapı değişikliği yapılmadığını vurguluyor.
Saldırı, küresel tedarik zinciri tehditleri bağlamında yeniden gündeme geldi. TanStack’a yönelik bu girişimin arkasındaki kişilerin veya grupların kimliğine dair netlik ise henüz sağlanmadı. Uzmanlar, doğrudan büyük şirketlerin savunmalarını aşmaktan çok, kullanılan açık kaynaklı yan yazılımlar ve kütüphaneler üzerinden zararlı kodların yayılmasının siber saldırılarda giderek yaygınlaştığını işaret ediyor. Bu yaklaşımın yakın zamanda başka örneklerle de pekiştiği gözlemleniyor.
Mart ayında Axios aracının Kuzey Koreli gruplar tarafından ele geçirilmesi, milyonlarca geliştiriciyi etkileyen zararlı kod dağıtımını hatırlatırken, Mayıs ayında Daemon Tools üzerinde benzer bir operasyon görüldü. Uzmanlar, açık kaynak projelerine güncellemeler yoluyla yapılan zararlı müdahalelerin tek bir hamlede çok sayıda kurumsal hedefi tehlikeye attığını belirtiyor.
