Mini Shai‑Hulud 供應鏈攻擊事件全解析

喺 2026 年 5 月 11–12 日 最大規模嘅一波攻擊入面，攻擊者成功：

• 劫持 GitHub Actions 發佈工作流程
• 利用被盜用嘅 OIDC 身份生成有效發佈 token
• 透過官方 pipeline 將惡意版本直接發佈到套件庫

由於套件係經「官方 CI/CD pipeline」發佈，佢哋看起來完全正常，甚至帶有 有效嘅 build provenance attestation（構建來源證明），令自動安全掃描更難發現問題。

TanStack 套件被入侵

最受影響嘅目標之一係 TanStack 生態系統——一組被大量 Web 應用使用嘅 JavaScript 函式庫。

攻擊發生時，黑客喺幾分鐘內透過官方發佈流程發佈咗：

• 42 個 @tanstack/* npm 套件
• 84 個惡意版本

當開發者安裝呢啲版本時，npm 嘅 lifecycle hook（例如 preinstall）會執行惡意程式，下載並運行憑證竊取程式。

之後安全研究人員發現攻擊迅速擴散：

• 170+ 個 npm 與 PyPI 套件受到影響
• 403 個惡意版本 被識別
• 影響範圍包括 UiPath、Mistral AI、OpenSearch、Guardrails AI 等開發生態

因此 Mini Shai‑Hulud 被認為係 2026 年最大型嘅開源供應鏈攻擊之一。

惡意程式點樣運作

惡意套件利用 package manager 常見嘅安裝 hook，例如：

• preinstall

當開發者安裝依賴時，程式就會自動執行。

研究人員觀察到，惡意程式主要嘗試偷取開發環境中嘅憑證，包括：

• GitHub Personal Access Token
• npm 發佈 token
• 雲端憑證（AWS、Azure、GCP）
• Kubernetes secrets
• HashiCorp Vault token
• CI/CD pipeline 環境變數
• SSH key 同開發者設定檔

一旦取得呢啲憑證，攻擊者就可以入侵更多 repository，再發佈更多惡意套件，令蠕蟲 喺開發基建中自動擴散。

為何會影響到 OpenAI 員工裝置

喺整個攻擊活動期間，兩部 OpenAI 員工電腦安裝咗受感染嘅 TanStack npm 套件。

OpenAI 表示攻擊者喺系統上進行過：

• 未授權存取行為
• 針對憑證嘅資料外傳活動

但公司調查後指出：

• 沒有證據顯示客戶資料被存取
• 只有 有限嘅憑證資料可能暴露

公開資料並未透露具體係哪個 TanStack 套件版本導致感染。

為何 OpenAI 更換 macOS App 簽名憑證

事件之後，OpenAI 更新咗企業環境嘅 macOS 應用程式 allowlist 指引。

公司確認：

• macOS 應用使用嘅 Apple Developer 簽名身份已更新，屬於事件回應措施之一

不過有幾個重要細節：

• Apple Developer Team ID 沒有改變：2DC432GLL2
• 如果企業只按 Team ID allowlist，可能毋須修改
• 如果安全策略檢查 證書指紋或簽名組織名稱，就需要更新

換句話講，一些企業設備管理（MDM）或應用 allowlisting 政策需要同步更新，先可以繼續信任 OpenAI macOS 應用。

對 npm 與 PyPI 生態的啟示

Mini Shai‑Hulud 暴露咗現代軟件開發一個結構性問題：

自動化發佈流程本身已經成為攻擊面。

傳統供應鏈攻擊通常會：

• 偷取 maintainer 帳號
• 或上傳假套件

但今次攻擊利用：

• CI/CD automation
• OIDC trusted publishing
• 套件庫信任模型

結果係：惡意版本看起來完全合法，而且可以極快擴散。

到最大規模時：

• 超過 170 個 npm / PyPI 套件 被污染
• 數百個惡意版本 被發佈
• 多個開發者生態短暫受影響

開發者與 OpenAI 用戶應採取的行動

1. 檢查 2026 年 5 月 11–12 日的依賴

審查該時段內嘅 build、CI 或依賴安裝紀錄，確認是否曾安裝受污染 TanStack 版本。

2. 移除並重新安裝安全版本

如果發現曾使用受影響版本：

• 移除該依賴
• 安裝已確認安全版本
• 從乾淨環境重新 build

3. 立即輪換所有開發憑證

包括：

• GitHub token
• npm / PyPI 發佈 token
• 雲端平台憑證
• CI/CD secrets

4. 檢查 GitHub Actions 發佈流程

確認：

• OIDC trusted publishing 設定
• workflow 權限
• 發佈 token 使用方式

避免 pipeline 被濫用。

5. 更新 macOS OpenAI App allowlist

企業管理裝置需要確認：

• 系統信任 最新 OpenAI 簽名身份
• 舊證書指紋已更新

否則可能會出現應用無法啟動或被阻擋情況。

事件反映的安全現實

Mini Shai‑Hulud 顯示，現代攻擊越來越集中喺 開發基建（developer infrastructure）：

• build pipeline
• 套件發佈系統
• 開發者憑證

一旦攻擊者控制咗呢啲環節，就可以透過 受信任嘅依賴套件散播惡意程式。

更重要嘅係，今次事件證明一件事：

即使套件具有 合法簽名同 provenance attestation，如果底層 build pipeline 已經被入侵，最終產物仍然可以係惡意程式。

對高度依賴開源依賴嘅團隊而言，持續監控依賴更新、隔離 build 環境，以及事件後迅速輪換憑證，已經成為基本安全措施。