# OpenAI ha avuto una violazione di sicurezza: aggiorna ChatGPT su Mac entro il 12 giugno

URL: https://menteinformatica.it/intelligenza-artificiale/chatgpt-mac-aggiornamento-sicurezza-openai/
Autore: Giorgio Perillo
Aggiornato: 2026-05-15
Categoria: Intelligenza Artificiale

---

**Se usi l’app di ChatGPT** su Mac, hai una scadenza precisa: entro il **12 giugno 2026** devi aggiornarla, o smette di funzionare. Non è un aggiornamento opzionale, è una risposta diretta a una violazione di sicurezza che ha colpito due dispositivi interni di **OpenAI**.

## Cosa è successo: l’attacco alla supply chain

L’**11 maggio 2026**, una libreria open-source chiamata **TanStack**, usata da migliaia di sviluppatori nel mondo, è stata compromessa nell’ambito di un attacco noto come **Mini Shai-Hulud**, un attacco alla catena di fornitura del software.

Due dispositivi di dipendenti **OpenAI** erano connessi a quell’ambiente aziendale e sono stati colpiti. Come [riportato da 9to5Mac](https://9to5mac.com/2026/05/14/psa-a-security-breach-means-you-must-update-the-chatgpt-mac-app/), l’attività osservata includeva accesso non autorizzato e furto di credenziali da un sottoinsieme limitato di repository di codice sorgente interni.

⚠️ **Attenzione:** OpenAI dice che nessun dato utente è stato esfiltrato e i sistemi principali non sono stati compromessi. Ma le credenziali rubate riguardavano il codice che firma i certificati delle app, e questo ha reso necessario revocare tutto.

## Perché l’app Mac va aggiornata e cosa rischi se non lo fai

Il problema tecnico centrale è questo: il codice compromesso includeva la capacità di **firmare i certificati** per i prodotti OpenAI. Con credenziali potenzialmente in mani sbagliate, OpenAI ha deciso di revocare i certificati esistenti e bloccare l’apertura di app firmate con il vecchio certificato.

Il risultato pratico è che l’app Mac di **ChatGPT** attualmente distribuita cesserà di aprirsi dopo il **12 giugno**. Non è un problema di iOS o Windows: quelle versioni non sono interessate.

Solo la **versione desktop per macOS** richiede un aggiornamento forzato, e OpenAI ha promesso istruzioni dettagliate agli utenti Mac nelle prossime settimane.

## Non è la prima volta che TanStack finisce nel mirino

**TanStack** è una famiglia di librerie JavaScript molto popolari, tra cui TanStack Query (ex React Query), usata in produzione da aziende come Shopify, Microsoft e Netlify. La sua diffusione capillare la rende un bersaglio ad alto valore: compromettere una dipendenza del genere significa potenzialmente toccare centinaia di pipeline CI/CD in contemporanea.

Non è un caso isolato nel panorama open-source: nel 2024 l’attacco a **xz Utils** aveva dimostrato quanto sia facile introdurre una backdoor in un progetto mantenuto da volontari sotto pressione. La differenza qui è la scala: TanStack ha milioni di download settimanali su npm.

## Quanto è grave davvero questo incidente

💡 **L’analisi:** OpenAI ha gestito in modo tecnicamente corretto la risposta (revoca certificati, DFIR esterno, comunicazione pubblica), ma il fatto che un attacco a una libreria open-source di terze parti abbia raggiunto repository interni con accesso alla firma del codice è un segnale di dipendenza da supply chain che non si risolve con una patch.

La **sicurezza di ChatGPT** come prodotto non è stata intaccata nel senso classico del termine, ma la fiducia sì. OpenAI gestisce milioni di account con dati sensibili, conversazioni professionali, chiavi API.

Che il vettore d’attacco sia stato una libreria open-source esterna, TanStack in questo caso, racconta qualcosa di sistematico: nessuna azienda, nemmeno quelle con le migliori pratiche interne, è immune da una catena di dipendenze che può essere avvelenata a monte. Ho già scritto di come la [sicurezza avanzata dell’account ChatGPT](https://menteinformatica.it/intelligenza-artificiale/openai-chatgpt-sicurezza-avanzata-yubico/) con chiavi fisiche stia diventando meno opzionale di quanto sembri, e questo episodio lo conferma.

Vale anche la pena notare che **Google** e **Anthropic**, i due concorrenti diretti con app desktop proprie, non hanno comunicato esposizioni simili legate a questo specifico attacco. Non significa che siano immuni, significa che Mini Shai-Hulud ha colpito in modo selettivo chi usava quella versione di TanStack in quella finestra temporale.

Il fatto che OpenAI abbia scelto la **revoca totale dei certificati** invece di una patch silenziosa dice qualcosa di positivo sulla loro gestione della crisi: hanno preferito l’impatto operativo sull’utente alla minimizzazione pubblica del danno. È la scelta giusta, anche se scomoda.

Detto questo, per l’utente medio la cosa è semplice: aggiorna l’app Mac di ChatGPT quando arriva la notifica, e non rimandare. L’unica azione che OpenAI ti chiede è quella, nient’altro.

Tutto il resto, indagini forensi, revoca delle credenziali, hardening dell’infrastruttura, lo sta gestendo OpenAI, non tu.

Stay tech 🦾