OpenAI 回应 TanStack 供应链攻击：未发现用户数据泄露

<p>最近安全圈发生了一起名为「Mini Shai-Hulud」的供应链攻击事件，波及了不少 AI 公司。OpenAI 今天正式发布声明回应了这件事，给了大家一颗定心丸。</p>
<p>OpenAI 表示已经完成了内部系统的全面排查，目前没有发现用户数据泄露或非法访问的证据。这对用户来说是个好消息——至少说明核心的安全防线没有被突破，用户的敏感数据、聊天记录、API 密钥等都是安全的。但同时 OpenAI 也提醒 macOS 用户需要在 2026 年 6 月 12 日之前完成软件更新，确保终端安全。这说明攻击的入口可能和 macOS 端有关，及时打补丁是最基本的防护手段。如果你是 macOS 用户，建议尽快打开系统设置把更新装了，不要拖。</p>
<p>什么是供应链攻击？简单说就是攻击者不直接攻击 OpenAI 本身，而是先黑掉 OpenAI 使用的某个第三方库、插件或者依赖项，然后通过这个被污染的组件渗透到 OpenAI 的系统里。这种攻击方式在 AI 行业越来越常见，因为 AI 工具高度依赖开源库和第三方组件——从 PyTorch 到 TensorFlow，从 Hugging Face 到各种 npm 包，供应链条非常长，任何一个环节出问题都可能是突破口，而且很难提前发现。</p>
<p>这次事件给整个 AI 行业提了一个醒：AI 发展越快，安全防线越不能松懈。大模型公司往往把精力放在模型能力和产品体验上，安全投入容易被忽视。但供应链攻击的破坏力很大——一个脆弱的第三方依赖就可能成为整个系统的阿克琉斯之踵，一旦被攻破，用户数据泄露的后果非常严重，可能引发信任危机和监管处罚，对公司造成长期伤害。</p>
<p>OpenAI 表示正在和安全研究人员合作，加强对第三方依赖项的监控和审计，同时也在推进更严格的代码审查和依赖管理流程，从源头上减少风险。对于企业用户来说，这件事也是一个重要的警示：使用 AI 工具时，要关注这些工具本身的安全状况和供应商的安全实践，不要只看功能和价格，安全合规同样重要。</p>

安全无小事。这次虽然没有造成实质性的数据泄露，但给所有人都敲响了警钟。AI 行业在追求技术突破的同时，必须把安全放在同等重要的位置，否则总有一天会出事。