Alerta en la cadena de suministro de software: OpenAI responde ante un incidente de seguridad por terceros

Un nuevo recordatorio de la vulnerabilidad en las cadenas de suministro de software sacude hoy al gigante de la Inteligencia Artificial. OpenAI, la creadora de ChatGPT, ha confirmado un incidente de seguridad vinculado a una herramienta de terceros.

Aunque la noticia suena alarmante, la empresa asegura que los datos personales de sus millones de usuarios están a salvo. Vamos a los detalles de lo que ocurrió entre bastidores. El problema se originó en Axios, una biblioteca de desarrollo ampliamente utilizada que fue comprometida el pasado 31 de marzo. Según OpenAI, este incidente forma parte de un ataque más amplio dirigido por agentes presuntamente vinculados a Corea del Norte.

El ataque logró infiltrarse en un flujo de trabajo de GitHub Actions utilizado por la compañía, permitiendo la descarga de una versión maliciosa de dicha herramienta. Lo delicado del asunto es que este flujo de trabajo tenía acceso directo a material crítico: los certificados que validan que las aplicaciones de OpenAI para macOS son auténticas.

¿Qué estuvo en riesgo? Aplicaciones como ChatGPT Desktop, Codex y Atlas. Sin embargo, tras un análisis exhaustivo, OpenAI concluyó que es muy probable que el certificado de firma no fuera extraído con éxito por el código malicioso. La empresa es enfática en tres puntos clave para nuestra tranquilidad: uno No hay pruebas de acceso a datos de usuarios o propiedad intelectual. dos Los sistemas internos y el software no fueron alterados. tres Las contraseñas y claves API se mantienen intactas.

La causa raíz fue identificada como una configuración incorrecta en el flujo de trabajo de GitHub, la cual ya ha sido subsanada. A pesar de que el riesgo parece contenido, OpenAI no está tomando riesgos. La compañía está actualizando todas sus certificaciones de seguridad y exige a los usuarios de macOS que actualicen sus aplicaciones a las versiones más recientes de inmediato. Esto es vital para evitar que actores malintencionados intenten distribuir versiones falsas de sus programas.

Tomen nota de esta fecha: 8 de mayo. A partir de ese día, las versiones antiguas dejarán de recibir soporte y podrían dejar de funcionar definitivamente. Una vez más, la seguridad en la nube nos demuestra que el eslabón más débil suele estar en las herramientas externas que todos damos por sentadas. Mantengan sus aplicaciones al día. Continuamos con más noticias.

Fuente: reuters

Artículos Relacionados:

Riesgo en la Cadena de Suministro: China alerta sobre una nueva crisis global de semiconductores 🚀 Nvidia y TSMC Fortalecen la Cadena de Suministro de Chips de IA en EE.UU. Italia restaura ChatGPT después de que OpenAI responde al regulador Western Digital informa incidente de seguridad en la red Seis formas de aplicar Big Data a la cadena de suministro de una empresa. Mitigación de riesgos en la cadena de suministro con terceros.