OpenAI、全Macユーザーに緊急アップデート警告――「Axios」サプライチェーン攻撃が暴いたAI時代のCI/CDリスク

OpenAIが全Macユーザーに緊急アップデートを要請
攻撃の経路──npmエコシステム経由でGitHub Actionsに侵入
「抽出されなかった」と結論、しかし証明書は破棄
根本原因は「依存バージョンの固定漏れ」
SYNCON視点：AI時代の「CI/CDリスク」を経営層が理解すべき理由

OpenAIが全Macユーザーに緊急アップデートを要請

2026年4月10日（金曜夜）、OpenAIはmacOS版ChatGPT、Codex、Codex CLI、Atlasの全ユーザーに対し、アプリを最新版に更新するよう緊急の警告を発した。同社は「念のための措置（out of an abundance of caution）」と強調しつつも、2026年5月8日以降、旧バージョンのmacOSアプリは動作しなくなる可能性があると明言している。

この対応の根本原因は、OpenAI自体のサーバーやアカウントの侵害ではない。「Axios」というサードパーティのJavaScriptライブラリを起点とする、典型的なソフトウェア・サプライチェーン攻撃である。

攻撃の経路──npmエコシステム経由でGitHub Actionsに侵入

2026年3月31日、何者か（Palo Alto Networks社のUnit 42によれば北朝鮮関連の脅威グループと目されている）が、Axiosメンテナーのnpmアカウントを乗っ取り、悪意あるバージョン（v1.14.1 および v0.30.4）を公開した。

Axiosは週間ダウンロード数1億回超の超主要JavaScriptライブラリで、Web開発者なら知らない人はいない定番ツールだ。OpenAIは社内のmacOSアプリのコード署名処理に使うGitHub Actionsワークフローの中で、このライブラリに依存していた。

悪意あるAxiosはワークフロー実行時に自動で取り込まれ、コード署名証明書と公証（notarization）素材にアクセス可能な環境で実行された。つまり、もし攻撃者がこの証明書を抽出できていれば、「正規のOpenAI製」と署名された偽のChatGPTやCodexアプリを世界に流通させることが可能だった。

「抽出されなかった」と結論、しかし証明書は破棄

OpenAIの調査では、悪意あるペイロードの実行タイミング、証明書の注入順序、ジョブの構成などから判断して、証明書が実際に外部へ持ち出された可能性は低いと結論付けている。ユーザーデータ、APIキー、OpenAIの内部システム、ソフトウェアの改竄――いずれも「影響なし」と断言している。

それでも同社は証明書を「侵害された前提」で扱い、旧証明書を失効させ、新証明書での再署名を実施した。結果として全Macユーザーは以下の対応を求められる。

ChatGPT Desktop、Codex、Codex CLI、Atlasを最新版にアップデート
2026年5月8日以降、旧証明書で署名された古い版は更新とサポートを受けられず、動作しなくなる可能性がある
パスワードやAPIキーの変更は不要（影響を受けていないため）
アップデートは必ず公式のアプリ内通知、またはOpenAI公式サイトのリンクから実行すること

なお、Web版ChatGPT、iOS、Android、Windows、Linux版は影響を受けない。あくまでmacOSアプリに限定された問題だ。

根本原因は「依存バージョンの固定漏れ」

OpenAIの事後報告によれば、問題のGitHub Actionsワークフローは依存ライブラリのバージョンを厳密に固定していなかった（lockfileの不備、またはfloating reference）。これにより、上流でAxiosが悪意あるバージョンに差し替えられた瞬間、自社ビルド環境にも自動的に流れ込んだ。同社はすでに該当設定を修正し、ビルドパイプライン全体の監査を実施済みだ。

SYNCON視点：AI時代の「CI/CDリスク」を経営層が理解すべき理由

このインシデントが経営者・管理職にとって重要なのは、「どれだけ大手でも、サプライチェーン攻撃は免れない」という事実である。OpenAIは世界トップクラスのAI企業であり、セキュリティ体制に人材と資金を惜しまないはずの組織だ。それでも、週1億ダウンロードの定番ライブラリに仕掛けられた罠を、通常のビルドプロセスで回避できなかった。

自社の情シス担当者やITベンダーに、次の3点を確認してほしい。