VS Code-attacken mot leverantörskedjan drabbar GitHub, OpenAI och Mistral AI

GitHub bekräftade idag att intrånget i cirka 3 800 interna arkiv spårar tillbaka till en förgiftad version av Nx Console VS Code-tillägget, i sig ett offer för TanStack npm-leverantörskedjeattacken. Kampanjen, som tillskrivs hotaktörsgruppen TeamPCP och kodnamnet Mini Shai-Hulud, har nu hävdat GitHub, OpenAI och Mistral AI som bekräftade offer, med utvecklaruppgifter och intern källkod de primära målen för alla tre.

Hur 18 minuter sänkte GitHub, OpenAI och Mistral AI

Attacken började den 11 maj 2026, när TeamPCP komprometterade TanStacks hela routerekosystem och spred en maskliknande nyttolast över 170 npm-paket och två PyPI-paket i en enda samordnad kampanj. CVE-2026-45321 har en CVSS-poäng på 9,6. Därifrån nådde kompromissen en Nx Console-utvecklares enhet, som TeamPCP använde för att driva en skadlig byggnad av Nx Console 18.95.0 till Visual Studio Marketplace.

Den trojaniserade förlängningen var live i exakt 18 minuter, mellan 12:30 och 12:48 UTC den 18 maj 2026. Det fönstret var tillräckligt. Tillägget kördes tyst vid start och utförde ett skalkommando förklädd som en rutinmässig MCP-installationsuppgift som laddade ner ett dolt paket från en planterad åtagande på det officiella Nx GitHub-arkivet. Den referensstjälare som den distribuerade riktade sig till 1Password-valv, Anthropic Claude-kodkonfigurationer, npm-tokens, GitHub-tokens och AWS-legitimationsuppgifter på alla utvecklarmaskiner som installerade den under fönstret.

En GitHub-anställd installerade tillägget. TeamPCP använde de skördade autentiseringsuppgifterna för att flytta genom CI / CD-pipelines och exfiltrera cirka 3 800 interna arkiv. GitHub CISO Alexis Wales bekräftade att företaget har "inga bevis för påverkan på kundinformation som lagras utanför GitHubs interna arkiv", även om Wales erkände att vissa interna arkiv innehåller utdrag av kundsupportinteraktioner och åtog sig att meddela kunderna om någon påverkan upptäcks.

Vad som togs och vem som är i riskzonen

OpenAI bekräftade att två anställdas enheter hade utsatts för intrång och att begränsat material med referenser hade exfiltrerats från en delmängd av interna källkodslager. Företaget engagerade ett tredjepartsföretag för digital kriminalteknik och incidentrespons och återkallar sitt macOS-appsigneringscertifikat i sin helhet den 12 juni 2026. Mistral AI bekräftade att dess npm- och PyPI SDK: er trojanerades som en del av samma kampanj, med TeamPCP som annonserade Mistral AI-kodförvar till salu på ett cyberbrottsforum.

Den gemensamma faktorn bland alla offer är utvecklarverktyg. Attacken behövde aldrig bryta igenom en perimeter. Den gick in genom paket och tillägg som utvecklare rutinmässigt installerar och skördade sedan de referenser som dessa utvecklare använder för att komma åt allt annat. OpenAI formulerade implikationen direkt: "Den här incidenten återspeglar en bredare förändring i hotbilden - angripare riktar sig alltmer mot delade programvaruberoenden och utvecklingsverktyg snarare än mot ett enskilt företag."

Överträdelsen landar när Microsoft samtidigt hanterar sin egen ouppdaterad sårbarhet.