OpenAI Dibobol Hacker, Bagaimana Nasib ChatGPT?

MPN Indonesia 17 Mei 2026 - OpenAI mengungkap dua perangkat milik karyawannya terdampak serangan supply chain melalui library open source TanStack berbasis npm pada Senin (11/5) waktu setempat.

Serangan yang dikenal dengan nama Mini Shai-Hulud itu membuat hacker memperoleh akses tidak sah ke sebagian kecil repository kode internal perusahaan.

Meski demikian, OpenAI memastikan tidak ada bukti data pengguna ChatGPT diakses, sistem produksi diretas, maupun perangkat lunak perusahaan dimodifikasi.

Perusahaan juga memastikan pengguna tidak perlu mengganti password maupun API key karena data pelanggan tidak ikut terdampak dalam serangan hacker tersebut.

Pernyataan OpenAI disampaikan setelah perusahaan melakukan investigasi internal bersama firma digital forensik pihak ketiga usai mendeteksi aktivitas mencurigakan dari malware yang menyebar melalui pembaruan library TanStack.

Kronologi Serangan Supply Chain TanStack

Serangan bermula ketika hacker mengambil alih library open source TanStack yang banyak digunakan pengembang aplikasi web.

Dikutip MPN Indonesia melalui Tech Crunch pada Minggu (17/5), TanStack mengungkap pelaku menerbitkan 84 versi berbahaya dari software mereka dalam rentang waktu enam menit.

Malware tersebut dirancang untuk mencuri kredensial dari perangkat yang memasang pembaruan software sekaligus menyebarkan diri ke sistem lain.

Laporan TechCrunch menyebut pola serangan ini menjadi bagian dari tren baru kejahatan siber yang menyasar dependency software dan tools pengembangan, bukan langsung menyerang satu perusahaan tertentu.

Dengan menyusupi proyek open source populer, hacker dapat menjangkau banyak target sekaligus hanya melalui satu kompromi sistem.

OpenAI menyatakan dua perangkat karyawannya mengunduh package yang sudah disusupi malware sebelum sistem perlindungan terbaru diterapkan penuh di lingkungan internal perusahaan.

Aktivitas malware yang ditemukan mencakup akses tidak sah dan pencurian kredensial dari sebagian kecil repository kode sumber internal.

Meski terdapat akses terhadap repository internal, OpenAI menegaskan tidak ada bukti kode aplikasi inti maupun sistem produksi berhasil dimodifikasi.

Perusahaan juga menyebut belum menemukan indikasi penyalahgunaan kredensial yang dicuri maupun akses lanjutan oleh pelaku serangan.

Langkah Penanganan OpenAI

Setelah mendeteksi serangan hacker tersebut, OpenAI langsung melakukan isolasi sistem dan identitas yang terdampak.

Perusahaan juga mencabut sesi pengguna, mengganti seluruh kredensial pada repository terkait, serta membatasi sementara alur deployment code.

Selain itu, OpenAI mempercepat penerapan kontrol keamanan tambahan untuk memperkuat sistem CI/CD perusahaan.

Langkah tersebut mencakup penguatan perlindungan material kredensial sensitif, penerapan konfigurasi package manager seperti minimumReleaseAge, dan validasi asal-usul package pihak ketiga.

OpenAI menyebut insiden ini terjadi di tengah proses bertahap penerapan sistem perlindungan baru.

Dua perangkat karyawan yang terdampak diketahui belum menggunakan konfigurasi keamanan terbaru yang sebenarnya dapat mencegah pengunduhan package berbahaya tersebut.

Perusahaan juga mengganti sertifikat penandatanganan digital untuk aplikasi Windows, macOS, iOS, dan Android sebagai langkah pencegahan.

Namun OpenAI menyatakan hanya pengguna macOS yang diwajibkan melakukan pembaruan aplikasi sebelum 12 Juni 2026.

Dampak untuk Pengguna ChatGPT macOS

Pengguna aplikasi desktop ChatGPT di Mac diminta segera memperbarui aplikasi ketika notifikasi update muncul.

Sertifikat digital yang diperbarui digunakan sistem keamanan Apple untuk memastikan aplikasi benar-benar berasal dari OpenAI dan aman dijalankan di perangkat Mac.

OpenAI mengingatkan pengguna agar hanya mengunduh aplikasi melalui pembaruan resmi dalam aplikasi atau situs resmi perusahaan.

OpenAI juga memperingatkan pengguna untuk tidak memasang installer bertuliskan “OpenAI”, “ChatGPT”, atau “Codex” yang diperoleh dari email, pesan singkat, iklan, file-sharing link, maupun situs pihak ketiga.

Perusahaan menyatakan sertifikat lama akan dicabut penuh setelah 12 Juni 2026 sehingga aplikasi macOS dengan sertifikat lama kemungkinan tidak lagi dapat digunakan.

Berikut versi terakhir aplikasi macOS yang masih menggunakan sertifikat lama:

• ChatGPT Desktop: 1.2026.125
• Codex App: 26.506.31421
• Codex CLI: 0.130.0
• Atlas: 1.2026.119.1

Perusahaan juga menyatakan belum menemukan malware yang ditandatangani menggunakan sertifikat resmi OpenAI.

(AKM/NID/RAD)