Злам OpenCode розкрив API-ключі користувачів зовнішніх ШІ-сервісів
OpenCode повідомив про витік API-ключів частини користувачів після атаки дистиляції ШІ-моделей.
Проєкт із відкритим кодом OpenCode повідомив частину користувачів про витік API-ключів, які вони зберігали для підключення до зовнішніх постачальників моделей штучного інтелекту. За даними підтримувача проєкту, інцидент торкнувся 1,4% користувачів OpenCode Console, що мали прив’язані зовнішні сервіси, зокрема Anthropic, OpenAI та Google.
Атака тривала щонайменше 48 годин
OpenCode назвав інцидент масштабною атакою дистиляції моделей. Дистиляція є методом машинного навчання, за якого менші моделі навчають на відповідях потужніших систем, щоб отримати швидші та дешевші моделі зі збереженням частини їхніх можливостей. Водночас у цьому випадку йшлося про масове навчання через несанкціоновані запити.
Співзасновник OpenCode Дакс Раад заявив, що зловмисники атакували системи компанії щонайменше 48 годин, використовуючи ШІ-агентів. За його словами, розслідування OpenCode ускладнилося тим, що моделі штучного інтелекту, які застосовували для аналізу, почали відмовлятися виконувати запити через вбудовані захисні механізми. Ситуація стабілізувалася після того, як проєкт отримав дозвіл використовувати кібербезпекову модель OpenAI Daybreak для захисних робіт.
Скарги на несанкціоновані витрати
У листі постраждалим користувачам OpenCode зазначив, що найраніша можлива дата розкриття ключів — 17 жовтня 2026 року о 00:30 UTC. Проєкт заявив, що ознак витоку даних не виявив, а також працює з Google, OpenAI та Anthropic над реагуванням на інцидент.
Користувачі повідомляли про несанкціоновані списання за використання API — від кількох сотень до 1700 доларів США за ніч. Дехто також заявив, що Google призупинила їхні проєкти після виявлення активності, яку компанія охарактеризувала як таку, що відповідає викраденим ресурсам. OpenCode повідомив постраждалих про можливість відшкодування витрат.
Про інцидент повідомляє BBC News.
