> ## Content Index > Fetch the complete content index at: https://www.5news.com.hk/llms.txt > Use this file to discover other available public pages before exploring further. # Mac 版 ChatGPT 爆保安疑慮？一文看清憑證失效真相與解決方案 - URL: https://www.5news.com.hk/openai-macos-axios-security-incident-fix-2026/ - Published: 2026-05-14T06:54:06.000Z - Updated: 2026-05-14T06:54:06.000Z - Description: 近日唔少 Mac 用戶反映，系統將 ChatGPT App 標示為惡意軟件並移至垃圾桶。呢單嘢其實同 OpenAI 使用嘅第三方工具 Axios 出現保安漏洞有關。官方為咗保障安全，撤換咗 macOS 應用程式嘅數碼憑證，導致舊版本被系統視為未經授權。本文詳盡記錄事件始末，分析技術成因，並列出所有受影響版本號碼，協助用戶安全地重裝軟件。 - Author: 5News編輯部 - Tags: #Artificial Intelligence, A.I., 全部 ## OpenAI Mac 版 App 爆保安疑慮？受 Axios 供應鏈攻擊影響 官方撤換憑證引發惡意軟件誤報 最近喺社交媒體同技術論壇上面，有好多使用 Mac 電腦嘅用戶發出求救，表示佢哋喺啟動官方 ChatGPT 應用程式嘅時候，收到系統發出嘅嚴重安全警告。正如「螢幕截圖 2026-05-13 15.22.27.jpg」入面顯示，macOS 彈出視窗話「ChatGPT Atlas.app」包含惡意軟件，並且已經將佢移入垃圾桶，拒絕執行程式。 ![OpenAI Mac 版 App 爆保安疑慮？受 Axios 供應鏈攻擊影響 官方撤換憑證引發惡意軟件誤報](https://storage.ghost.io/c/3a/55/3a558e15-07f0-4658-8806-c5a29d8cc457/content/images/2026/05/error-message-from-starting-chatGPT-mac.png.webp) OpenAI Mac 版 App 爆保安疑慮？受 Axios 供應鏈攻擊影響 官方撤換憑證引發惡意軟件誤報 對於日常依賴 AI 工具嘅香港用家嚟講，呢個情況無疑令人非常擔心，甚至質疑 OpenAI 嘅安全性。不過，根據目前官方發布嘅資料同技術分析，呢個並唔係因為 OpenAI 專登喺程式入面植入病毒，而係一場涉及第三方開發工具「Axios」嘅供應鏈攻擊（Supply Chain Attack），導致 OpenAI 需要採取緊急防禦措施。 ## 事故核心：Axios 供應鏈攻擊始末 今次事件嘅源頭要追溯返去 2026 年 3 月 31 日。當時一個廣泛被開發者使用嘅第三方 JavaScript 函式庫「Axios」遭到入侵。Axios 係一個用嚟處理網絡請求嘅常用工具，好多知名軟件公司嘅開發流程入面都有用到佢。 喺呢場波及成個行業嘅事故入面，OpenAI 用嚟自動化構建 macOS 應用程式嘅「GitHub Actions」工作流，喺簽名過程入面意外下載咗一個含有惡意代碼嘅 Axios 版本（版本號 1.14.1）。由於呢個自動化流程擁有存取 OpenAI 數碼憑證（Signing Certificate）同公證資料（Notarization material）嘅權限，理論上，黑客有可能接觸到呢啲用嚟證明軟件係由官方發布嘅關鍵文件。 雖然 OpenAI 嘅內部調查顯示，由於惡意載荷執行嘅時間點同憑證注入嘅順序存在差異，黑客極有可能未能成功竊取到憑證。但係出於極度謹慎嘅保安考慮，OpenAI 決定將呢套舊有嘅憑證視為已經洩漏，並喺 2026 年 5 月 8 日正式撤銷（Revoke）並更換新嘅憑證。 ## 蘋果保安機制 Xprotect 嘅運作原理 點解 OpenAI 換咗憑證，用戶嘅 Mac 就會話個 App 係病毒？呢度涉及蘋果系統入面一個叫「Xprotect」嘅保安機制。 自從 2022 年開始，macOS 就內置咗呢套功能，喺後台默默保護用戶。當一個應用程式嘅數碼憑證被發行者（例如 OpenAI）撤銷咗之後，系統就會認為呢個 App 再無官方認證。如果呢個憑證係因為保安理由而更換，系統更會將所有使用舊憑證簽名嘅軟件標示為具威脅性。 所以，用戶睇到嘅「惡意軟件」警告，其實係 macOS 履行緊佢嘅職責。因為舊版本嘅 ChatGPT 已經唔再符合 Apple 嘅公證（Notarization）要求，系統為咗防止黑客利用可能洩漏嘅憑證製作假冒 App，所以一律採取封鎖措施。 ## OpenAI 嘅補救措施同調查進度 [OpenAI 喺發現問題](https://openai.com/index/axios-developer-tool-compromise/)之後，已經即時採取咗以下行動： 1. **更換數碼憑證：** 停止使用舊嘅憑證，並為所有 macOS 產品發布由新憑證簽署嘅版本。 2. **與 Apple 合作：** 確保使用舊憑證簽名嘅新軟件無法再通過 Apple 嘅公證審核。 3. **法證調查：** 聘請咗第三方數碼法證公司，確認系統入面無任何未經授權嘅代碼修改。 4. **修復漏洞：** 針對引發今次事故嘅 GitHub Actions 配置進行咗優化，防止未來發生同類問題。 最重要嘅係，OpenAI 強調目前**無任何證據**顯示用戶資料被洩漏，亦無發現黑客利用呢啲憑證成功發布過任何偽裝嘅惡意軟件。受影響嘅範疇僅限於 macOS 平台嘅桌面版應用程式，至於 iOS、Android、Windows 同埋網頁版 ChatGPT 均唔受今次事件影響。 ## 解決方法：受影響產品清單及安全版本號碼 由於舊憑證已經喺 2026 年 5 月 8 日失效，所有喺呢個日期之前下載且未更新嘅 Mac 版 App 都有機會無法運行。用戶如果遇到無法啟動嘅情況，需要對照以下官方公布嘅「安全版本」或更高版本： | **產品名稱** | **安全版本號碼 (及之後版本)** | | ------------------- | ------------------ | | **ChatGPT Desktop** | 1.2026.051 | | **Codex App** | 26.406.40811 | | **Codex CLI** | 0.119.0 | | **Atlas** | 1.2026.84.2 | 如果閣下嘅 App 版本低過上面列出嘅號碼，系統就有機會彈出好似「螢幕截圖 2026-05-13 15.22.27.jpg」入面嘅警告。解決方法好簡單：唔好嘗試夾硬啟動舊 App，而係應該直接去 OpenAI 官方網站[重新下載](https://chatgpt.com/download/?openaicom-did=8642b445-ec66-451e-8f0b-ce0ef538d28f&openaicom%5Freferred=true)安裝包，覆蓋舊有版本。 ## 技術反思：GitHub Actions 嘅配置風險 今次事件對技術界嚟講係一個好大嘅警示。OpenAI 承認事故嘅根本原因係 GitHub Actions 工作流入面嘅配置失當： - **使用浮動標籤（Floating Tag）：** 開發團隊喺引入 Axios 嘅時候，無指定一個固定嘅提交哈希值（Commit Hash），而係使用咗一個會隨時指向最新版本嘅標籤。咁樣做雖然方便，但一旦第三方工具嘅最新版本被植入惡意代碼，系統就會自動下載。 - **缺乏最小發布時限（minimumReleaseAge）：** 系統無設定一個「冷卻期」，令到剛發布且未經廣泛審核嘅惡意 Axios 版本能夠即時進入生產線。 OpenAI 表示而家已經修正咗呢啲配置，改用更嚴謹嘅方式嚟管理第三方依賴項目。 ## 用戶常見問題（FAQ） > **問：我需要更改 OpenAI 帳戶密碼嗎？** > > 答：根據官方調查，密碼同 API Key 資訊並無受到影響，所以用戶唔需要因為呢次事件而更改密碼。 > **問：我喺 Windows 用緊 ChatGPT，會有事嗎？** > > 答：唔會。今次憑證問題純粹針對 macOS 嘅簽名流程，Windows 版本係採用唔同嘅構建體系，無受影響。 > **問：點解 OpenAI 唔喺 3 月發現嗰陣即刻撤銷憑證？** > > 答：因為立即撤銷會導致所有用戶嘅 App 即時癱瘓。官方選擇咗一個約 30 日嘅緩衝期，希望用戶有時間透過內置更新功能升級，盡量減少對用家嘅干擾。 > **問：如果我唔小心喺第三方網站下載咗 ChatGPT，應該點算？** > > 答：呢個非常危險。官方強烈建議只可以透過 OpenAI 官方網站或者 App 入面嘅自動更新嚟獲取軟件。第三方下載站可能已經喺 App 入面加入咗真正嘅惡意代碼。 ## 總結 今次 ChatGPT Mac 版被標示為惡意軟件，本質上係一場由第三方開發工具漏洞引發嘅連鎖反應。OpenAI 採取撤換憑證呢種「壯士斷臂」嘅做法，雖然對部分用戶造成咗唔方便，但係喺資訊保安角度嚟睇，係一種負責任嘅表現。 作為香港用戶，我哋喺處理呢類警告嘅時候應該保持理性。當見到系統警告時，唔好隨便喺網上搜尋「點樣繞過 Mac 安全檢查」，而係應該先去官方渠道確認有無保安更新。保持軟件處於最新狀態，永遠係對抗數碼風險最有效嘅手段。