ChatGPT sur Mac :
pourquoi la mise à jour d’avril 2026 reste importante.

L’article original, publié au lendemain de l’annonce d’OpenAI, décrivait une mesure préventive. Cinq mois plus tard, le recul permet de préciser ce qui s’est réellement produit et de retirer plusieurs formulations trop catégoriques.

Premier fait confirmé : le 31 mars 2026, une version malveillante d’Axios a bien été téléchargée et exécutée dans un workflow GitHub Actions utilisé par OpenAI pour le processus de signature de ses applications macOS. Ce workflow avait accès à un certificat de signature et à du matériel de notarisation.

Deuxième fait confirmé : OpenAI a déclaré n’avoir trouvé aucune preuve que les données des utilisateurs, ses systèmes, sa propriété intellectuelle ou ses logiciels aient été compromis ou modifiés. L’entreprise n’a pas non plus identifié d’application malveillante signée avec le certificat concerné.

Troisième fait confirmé : OpenAI estimait que le certificat n’avait probablement pas été exfiltré, notamment en raison de la chronologie d’exécution du malware et du moment où le certificat était injecté dans le workflow. L’entreprise a néanmoins décidé de le considérer comme compromis, puis de le révoquer et de le remplacer.

La nuance est essentielle. Il n’est donc pas exact d’écrire aujourd’hui que « des clés OpenAI ont été volées ». Le risque d’exfiltration existait ; l’enquête d’OpenAI concluait au contraire qu’une exfiltration réussie était peu probable.

Le point le plus instructif de l’incident n’est pas que ChatGPT utilisait Axios. Il est beaucoup plus précis : un workflow GitHub Actions impliqué dans la signature des applications macOS d’OpenAI a téléchargé et exécuté la version malveillante 1.14.1.

OpenAI a identifié deux faiblesses dans ce workflow. L’action utilisait un tag flottant plutôt qu’un hash de commit précis, ce qui permettait à une dépendance récemment publiée d’être récupérée. Le workflow ne configurait pas non plus de délai minimal avant l’adoption d’une nouvelle version.

C’est exactement le type de scénario que les attaques de chaîne d’approvisionnement cherchent à exploiter. L’attaquant ne s’introduit pas nécessairement directement chez sa cible finale. Il compromet un composant tiers légitime, très utilisé, puis attend qu’un système de construction ou de déploiement le récupère automatiquement.

Dans le cas d’OpenAI, le workflow avait accès à des éléments utilisés pour certifier l’authenticité des applications macOS, notamment ChatGPT Desktop, Codex, Codex CLI et Atlas. Le danger théorique concernait donc moins les conversations ChatGPT que la possibilité de détourner une identité de signature logicielle.

OpenAI a indiqué avoir corrigé la configuration du workflow, renforcé ses pratiques de verrouillage des dépendances et ajouté des contrôles destinés à empêcher l’adoption immédiate de nouvelles versions non éprouvées.

Sur macOS, la signature du code permet d’identifier le développeur d’une application et de vérifier que le logiciel n’a pas été modifié depuis sa signature. Apple ajoute à ce mécanisme la notarisation, qui participe aux contrôles effectués avant l’exécution d’une application distribuée hors du Mac App Store.

L’article initial allait trop loin en affirmant qu’une ancienne clé volée aurait permis de produire une fausse application « indétectable par macOS ». Ce n’est pas exact. OpenAI avait déjà travaillé à bloquer toute nouvelle notarisation utilisant le matériel concerné. Une application frauduleuse dépourvue de notarisation aurait donc été bloquée par défaut par les protections macOS, sauf contournement explicite par l’utilisateur.

Le risque n’était cependant pas théorique au point de pouvoir être ignoré. Un certificat de signature potentiellement exposé reste un actif critique. OpenAI a donc choisi la stratégie la plus prudente : traiter le certificat comme compromis malgré l’absence d’indice d’exfiltration, en émettre un nouveau et faire migrer les applications légitimes vers celui-ci.

L’actualisation de septembre apporte un élément majeur absent de l’article d’avril : quelques semaines après Axios, OpenAI a été confronté à un autre incident de chaîne d’approvisionnement npm, cette fois lié à TanStack.

Dans sa communication officielle, OpenAI explique que cet incident a affecté des clés de signature concernant Windows, macOS, iOS et Android. L’entreprise a donc de nouveau resigné ses applications avec de nouveaux certificats.

Pour macOS, une nouvelle échéance a été fixée au 12 juin 2026. Après cette date, les versions plus anciennes ne devaient plus être supportées et pouvaient ne plus fonctionner. OpenAI cite notamment ChatGPT Desktop 1.2026.118, Codex App 26.506.31421, Codex CLI 0.130.0 et Atlas 1.2026.119.1 comme dernières versions signées avec le certificat devenu obsolète lors de ce second épisode.

Ce deuxième événement change la lecture de l’incident Axios. La mise à jour d’avril n’était pas un problème isolé de ChatGPT : elle illustrait une faiblesse plus large des chaînes de dépendances logicielles. Une entreprise peut sécuriser son infrastructure directe tout en restant exposée à une bibliothèque, un package manager ou un workflow tiers.

Il serait cependant incorrect d’en déduire que les applications OpenAI ont été piratées à deux reprises. Dans les deux cas, les communications d’OpenAI décrivent des mesures de rotation de certificats prises pour réduire le risque lié à des incidents supply chain.

Axios montre pourquoi les attaques supply chain sont difficiles à contenir. Les logiciels modernes assemblent des centaines ou des milliers de composants, bibliothèques, actions CI/CD et services tiers. Chacun représente un maillon de confiance.

Une bibliothèque très populaire devient donc une cible particulièrement rentable. Au lieu d’attaquer séparément chaque entreprise, un attaquant peut compromettre un mainteneur ou un canal de distribution et atteindre les systèmes qui récupèrent automatiquement le composant piégé.

La défense passe par plusieurs couches : versions verrouillées, hashes de commit précis, délai avant adoption des nouvelles versions, contrôle des dépendances, séparation des secrets, limitation des droits des runners CI/CD, journalisation et rotation rapide des certificats ou identifiants lorsqu’une exposition ne peut être exclue.

L’incident rejoint un contexte plus large de hausse des risques numériques. WY-Créations a déjà détaillé les alertes de la CNIL sur les cyberattaques et les campagnes où les e-mails malveillants restent un vecteur majeur.

Les techniques d’ingénierie sociale se combinent d’ailleurs de plus en plus avec les outils techniques. Les faux écrans bleus utilisés pour piéger des professionnels montrent qu’une attaque efficace n’a pas toujours besoin d’exploiter une faille sophistiquée : convaincre la victime d’exécuter elle-même une action suffit parfois.

Même des signaux apparemment anecdotiques peuvent rappeler les bonnes pratiques. Notre analyse des lunettes de Macron et de la protection contre les regards indiscrets illustrait déjà que la sécurité repose aussi sur des habitudes physiques et humaines.