Hakerlər OpenCode Console-a daxil olub, API açarlarını ifşa edərək AI xərclərini artırdılar

OpenCode, Claude Code və Cursor-a alternativ kimi təqdim edilən açıq mənbəli AI kodlaşdırma agenti, şənbə günü hakerlərin gecə boyunca köhnə bir sistemə daxil olduğu təhlükəsizlik pozuntusunu açıqlayıb. Hadisə onun onlayn platforması OpenCode Console istifadəçilərinin 1,4%-nə təsir edib; burada bəzi istifadəçilər AI xidmətlərinə çıxış üçün istifadə etdikləri API açarlarını saxlayırlar.

Şirkət hadisəni X-də genişmiqyaslı distilyasiya hücumu ilə əlaqəli təhlükəsizlik pozuntusu kimi təsvir edib. O, həmin səhər bütün zərərçəkmiş istifadəçilərə e-poçtla məlumat verdiyini və e-poçt almayan istifadəçilərin təsirlənmədiyini bildirib. Şirkət distilyasiya hücumunun necə baş verdiyini dəqiqləşdirməyib, lakin sızdırılmış API açarları Amerika modellərinə çıxışı məhdud olan ölkələrin istifadəçilərinə bu proses üçün lazım olan yüksək həcmli nəticələri yaratmağa kömək edə bilər. Bəzi skeptiklər bu təsviri həddindən artıq adlandırıb, hadisənin sadə bir pozuntu olduğunu və ondan distilyasiya üçün istifadənin sübut olunmadığını bildiriblər.

İcazəsiz Ödənişlər və Geri Ödənişlər

Gecə ərzində tərtibatçılar Reddit və X-də xərcləmə xəbərdarlıqları və icazəsiz ödənişlər paylaşmağa başlayıblar. Bir tərtibatçı OpenAI, Anthropic və Google AI xərcləmə xəbərdarlıqlarının hamısının yatmazdan əvvəl işə düşdüyünü yazıb. Digər istifadəçilər ayrı hesablarda yüzlərlə dollar məbləğində ödəniş bildirib, bir neçə nəfər isə 1000 dollardan yuxarı ümumi məbləğlərdən danışıb.

Anthropic və Google sızdırıldığına inandıqları API açarlarını bloklayıb, OpenAI isə OpenCode ilə birlikdə çıxışı bərpa etdiyini və hücumda istifadə olunan kreditlər üçün API müştərilərinə geri ödəniş etdiyini bildirib. OpenCode icazəsiz ödənişlərin geri qaytarılmasının davam etdiyini bildirib.

AI Müdafiəsi Təhlükəsizlik Filtrlərinə İlişdi

Həmtəsisçi Dax Raad ifşa olunmuş açarların yalnız Console ilə məhdudlaşdığını, burada bəzi istifadəçilərin onları iş məkanlarında saxladığını və açıq mənbəli proqramın və əmr xətti alətinin təsirlənmədiyini bildirib. O, hakerlərin 48 saat ərzində fasiləsiz olaraq sistemlərinə daxil olmağa çalışdığını və bunun komandanın AI müdafiə agentlərini gecə-gündüz işlək vəziyyətdə saxlamasını tələb etdiyini söyləyib.

Komandanın təhlil üçün müraciət etdiyi AI modelləri bir müddət kömək edib, lakin onlardan yoxlamaları istənilən zərərli kod təhlükəsizlik filtrlərini işə saldıqda işləməkdən imtina etməyə başlayıblar. Daha sonra OpenCode OpenAI-nin Daybreak Blue proqramına çıxış əldə edib; bu proqram təsdiqlənmiş istifadəçilərə müdafiə təhlükəsizliyi işləri üzrə sorğuları daha az rədd edən AI modelləri verir və Raad bu çıxışın komandanın hücumu araşdırma qabiliyyətini yaxşılaşdırdığını bildirib.

Hadisə iyul ayındakı hadisəni xatırladır: o zaman AI platforması Hugging Face, avtonom AI agentlərinin icazəsiz daxilolması ilə bağlı fəaliyyət jurnallarını təhlil etmək cəhdlərinin kommersiya AI modelləri tərəfindən maneə törədildiyini bildirmişdi. Prezidentin Elm və Texnologiya üzrə Məsləhət Şurasının həmsədri David Sacks X-də yazıb ki, qoruyucu mexanizmlər tərs nəticə verib, çünki onlar hadisəyə cavab verəni hücumçudan ayırd edə bilmirlər.

OpenCode hakerlərin köhnə sistemə necə çıxış əldə etdiyini, açarların necə saxlandığını və hər hansı sui-istifadənin tam həcmini açıqlamayıb. Şirkət zərər çəkmiş istifadəçilərə açarlarını birbaşa hər bir provayderdə ləğv edib dəyişdirməyi tövsiyə edib və hadisənin davam etdiyini bildirib.

Mənbələr: TechCrunch