[속보] OpenAI, macOS 앱 인증서 오늘 폐기…구버전 다운로드·실행 차단

OpenAI 공식 보안 공지에 따르면 회사는 2026년 6월 12일 이전 인증서로 서명된 macOS 앱의 신규 다운로드와 최초 실행이 macOS 보안 보호 기능에 의해 차단될 수 있다고 안내했다. 대상은 ChatGPT Desktop, Codex App, Codex CLI, Atlas의 구버전이다.

이번 조치는 5월 발생한 TanStack npm 공급망 공격 대응의 일부다. OpenAI는 해당 공격으로 직원 기기 2대가 영향을 받았고, 제한된 내부 소스 코드 저장소에서 일부 자격 증명 자료가 유출됐다고 밝혔다. 회사는 고객 데이터, 생산 시스템, 지식재산, 배포된 소프트웨어 변경이 영향을 받았다는 증거는 찾지 못했다고 설명했다.

OpenAI는 영향받은 저장소에 iOS, macOS, Windows 등 제품 서명 인증서가 포함돼 있었다고 밝혔다. 이에 따라 인증서를 교체하고, 이전 인증서로 새 앱을 공증하지 못하도록 플랫폼 사업자와 조치했다고 설명했다. macOS 이용자는 앱이 계속 정상 동작하도록 최신 버전으로 업데이트해야 한다.

공지에서 OpenAI는 macOS 이용자에게 인앱 업데이트 또는 공식 다운로드 경로만 이용하라고 당부했다. 이메일, 메시지, 광고, 파일 공유 링크, 제3자 다운로드 사이트에서 전달되는 OpenAI·ChatGPT·Codex 설치 파일은 피하라는 설명도 포함됐다.

지원 종료 대상 버전도 제시됐다. OpenAI가 마지막 구 인증서 서명 버전으로 안내한 항목은 ChatGPT Desktop 1.2026.118, Codex App 26.506.31421, Codex CLI 0.130.0, Atlas 1.2026.119.1이다. Windows와 iOS 이용자는 별도 조치가 필요하지 않다고 회사는 밝혔다.

이번 사례는 오픈소스 공급망 공격이 단일 패키지 피해를 넘어 기업의 코드 서명 체계와 배포 신뢰까지 영향을 줄 수 있음을 보여준다. 개발 도구와 AI 데스크톱 앱이 업무 환경에 깊게 들어온 만큼, 이용자는 공식 업데이트 경로와 설치 파일 출처를 함께 확인해야 한다.

다만 OpenAI는 악성 소프트웨어가 회사 인증서로 서명됐다는 증거는 찾지 못했다고 밝혔다. 회사는 이전 인증서 악용 지표를 계속 모니터링하고 있으며, 악의적 활동이 확인될 경우 인증서 폐기 일정을 앞당길 수 있다고 설명했다.

출처: OpenAI https://openai.com/index/our-response-to-the-tanstack-npm-supply-chain-attack/