OpenAI TanStack 2026 डेटा उल्लंघन

OpenAI की आधिकारिक सूचना “TanStack npm सप्लाई-चेन हमले पर हमारी प्रतिक्रिया” सीधे तौर पर पुष्टि करती है कि कर्मचारियों के दो कॉर्पोरेट डिवाइस प्रभावित हुए, सीमित आंतरिक रिपॉज़िटरी तक अनधिकृत पहुँच हुई और क्रेडेंशियल संबंधी जानकारी बाहर भेजी गई। कंपनी ने घटना पर प्रतिक्रिया देने वाली एक बाहरी फ़र्म के साथ फ़ॉरेंसिक जाँच की, संबंधित खातों और डिवाइसों को अलग-थलग किया और प्रभावित डेटा का दायरा स्पष्ट रूप से प्रकाशित किया।

BleepingComputer और The Hacker News ने कंपनी की सार्वजनिक सूचना पर स्वतंत्र रूप से रिपोर्ट प्रकाशित कीं। इन रिपोर्टों में भी दो डिवाइसों के प्रभावित होने, सीमित क्रेडेंशियल संबंधी जानकारी बाहर भेजे जाने, ग्राहकों और प्रोडक्शन से जुड़े क्षेत्रों पर असर न पड़ने और एहतियात के तौर पर कोड-साइनिंग प्रमाणपत्र बदले जाने की पुष्टि हुई। दोनों रिपोर्टें इस घटना को व्यापक Mini Shai-Hulud अभियान से जोड़ती हैं।

Mini Shai-Hulud अभियान ने डेवलपर परिवेशों से गोपनीय जानकारी जुटाने के लिए TanStack और अन्य ओपन-सोर्स परियोजनाओं की रिलीज़ प्रक्रियाओं में दुर्भावनापूर्ण कोड डाला। पेलोड ने डेवलपर की पहुँच से जुड़ी जानकारी खोजी, जैसे GitHub और npm टोकन, क्लाउड क्रेडेंशियल, Kubernetes सीक्रेट, SSH कुंजियाँ और एनवायरनमेंट फ़ाइलें। भरोसेमंद पैकेजों और सामान्य वितरण माध्यमों के इस्तेमाल से यह उन पैकेजों का उपयोग करने वाले संगठनों तक तेज़ी से फैल सका।

OpenAI ने दो कर्मचारियों के डिवाइसों पर ऐसी गतिविधि देखी, जो सार्वजनिक रूप से दर्ज इस मैलवेयर के व्यवहार से मेल खाती थी। उन कर्मचारियों की पहुँच में मौजूद आंतरिक स्रोत-कोड रिपॉज़िटरी के एक सीमित हिस्से में अनधिकृत पहुँच और क्रेडेंशियल संबंधी जानकारी बाहर भेजे जाने की गतिविधि हुई। घटना की तारीख उस सबसे शुरुआती तकनीकी गतिविधि पर आधारित है, जिसकी पुष्टि सार्वजनिक स्रोतों से की जा सकती है।

पुष्टि की गई डेटा श्रेणी केवल उस सीमित क्रेडेंशियल संबंधी जानकारी तक है, जिसे आंतरिक स्रोत-कोड रिपॉज़िटरी से सफलतापूर्वक बाहर भेजा गया था। OpenAI ने यह कहकर रिपॉज़िटरी तक पहुँच और वास्तव में डेटा बाहर भेजे जाने के बीच अंतर स्पष्ट किया कि किसी अन्य जानकारी या कोड पर असर नहीं पड़ा था।

प्रभावित रिपॉज़िटरी में iOS, macOS और Windows पर OpenAI उत्पादों के लिए इस्तेमाल होने वाले कोड-साइनिंग प्रमाणपत्र भी मौजूद थे। कंपनी को ऐसा कोई साक्ष्य नहीं मिला कि इन प्रमाणपत्रों का इस्तेमाल दुर्भावनापूर्ण सॉफ़्टवेयर पर हस्ताक्षर करने के लिए किया गया था। फिर भी, संभावित जोखिम दूर करने के लिए उसने इन्हें निरस्त करके नए प्रमाणपत्र जारी किए। प्रमाणपत्रों के बारे में कहा गया है कि वे संभावित रूप से उजागर हुए थे; उन्हें ऐसे क्रेडेंशियल नहीं बताया गया है जिनके दुर्भावनापूर्ण इस्तेमाल की पुष्टि हुई हो।

OpenAI ने पुष्टि की कि ग्राहक या उपयोगकर्ता डेटा अप्रभावित रहा, प्रोडक्शन सिस्टम तक पहुँच नहीं हुई और तैनात सॉफ़्टवेयर में बिना अनुमति बदलाव नहीं किया गया। बौद्धिक संपदा भी समझौता किए गए डेटा के दायरे में नहीं थी। आधिकारिक स्रोत ने प्रभावित व्यक्तियों या रिकॉर्ड की जो संख्या प्रकाशित की है, वह घटना के बताए गए दायरे को दर्शाती है। इसका अर्थ यह नहीं है कि बताई गई हर डेटा श्रेणी का संबंध हर व्यक्ति से था।

कंपनी को ऐसा कोई साक्ष्य नहीं मिला कि चोरी हुई सीमित क्रेडेंशियल संबंधी जानकारी का इस्तेमाल बाद के हमलों में किया गया था। उसने प्रभावित सिस्टम और डिजिटल पहचानों को अलग-थलग किया, उपयोगकर्ता सत्र समाप्त किए, प्रभावित रिपॉज़िटरी के सभी क्रेडेंशियल बदले, तैनाती की कार्यप्रक्रियाओं पर अस्थायी प्रतिबंध लगाए और उपयोगकर्ताओं तथा क्रेडेंशियल के इस्तेमाल की ऑडिट जाँच की। घटना को सीमित रखने के इन सत्यापित उपायों ने उसे प्रोडक्शन तक फैलने से रोका।

प्रमाणपत्र बदलने के बाद OpenAI ने macOS पर ChatGPT Desktop, Codex App, Codex CLI और Atlas इस्तेमाल करने वाले उपयोगकर्ताओं से 12 जून 2026 से पहले अपडेट करने को कहा। पुराने प्रमाणपत्र निरस्त होने के बाद Apple के नोटरीकरण नियंत्रण पुराने प्रमाणपत्र से हस्ताक्षरित सॉफ़्टवेयर के नए डाउनलोड या उसे शुरू करने पर रोक लगा सकते थे। उपयोगकर्ताओं के लिए इस कार्रवाई की ज़रूरत होने का अर्थ यह नहीं है कि ग्राहक डेटा चोरी हुआ था।

Windows और iOS उपयोगकर्ताओं को इस घटना के संबंध में कोई कार्रवाई करने की ज़रूरत नहीं थी। OpenAI ने macOS, Windows, iOS और Android के लिए हस्ताक्षर संबंधी सामग्री को व्यापक रूप से एहतियात के तौर पर बदला था; कंपनी को उजागर हुए प्रमाणपत्रों से हस्ताक्षरित कोई नकली OpenAI एप्लिकेशन नहीं मिला।

आधिकारिक स्रोत ने प्रभावित व्यक्तियों या रिकॉर्ड की जो संख्या प्रकाशित की है, वह घटना के बताए गए दायरे को दर्शाती है। इसका अर्थ यह नहीं है कि बताई गई हर डेटा श्रेणी का संबंध हर व्यक्ति से था। दो डिवाइस और दो कर्मचारी एक ही पुष्ट दायरे को दर्शाते हैं; रिपॉज़िटरी, प्रमाणपत्रों और दुर्भावनापूर्ण पैकेजों की संख्या को व्यक्तियों की संख्या में नहीं जोड़ा जाता।

पाठकों को पुष्ट घटना का दायरा इस तरह समझना चाहिए: कर्मचारियों के दो डिवाइस, सीमित आंतरिक रिपॉज़िटरी तक पहुँच और सीमित क्रेडेंशियल संबंधी जानकारी का बाहर भेजा जाना। ग्राहक डेटा, प्रोडक्शन सिस्टम, बौद्धिक संपदा और तैनात सॉफ़्टवेयर अप्रभावित रहे, और प्रमाणपत्रों का कोई दुरुपयोग नहीं पाया गया। यदि नए फ़ॉरेंसिक निष्कर्ष प्रकाशित होते हैं, तो मूल स्रोतों के आधार पर डेटा श्रेणियों और दायरे का फिर से आकलन किया जा सकता है।