Հաքերները ներխուժեցին OpenCode Console՝ բացահայտելով API բանալիներ և ավելացնելով AI վճարները

OpenCode-ը՝ բաց կոդով AI ծրագրավորման գործակալ, որը դիրքավորվում է որպես Claude Code-ի և Cursor-ի այլընտրանք, շաբաթ օրը հայտնել է անվտանգության խախտման մասին, երբ գիշերվա ընթացքում հաքերները ներխուժել են հին համակարգ։ Միջադեպն ազդել է նրա առցանց հարթակի՝ OpenCode Console-ի օգտատերերի 1,4%-ի վրա, որտեղ ոմանք պահում են AI ծառայությունների հասանելիության API բանալիները։

Ընկերությունը X-ում միջադեպը նկարագրել է որպես լայնածավալ դիստիլյացիոն հարձակման հետ կապված խախտում։ Այն հայտնել է, որ այդ առավոտ էլեկտրոնային փոստով ծանուցել է բոլոր տուժած օգտատերերին, իսկ նրանք, ովքեր նամակ չեն ստացել, չեն տուժել։ Ընկերությունը չի հստակեցրել, թե ինչպես է տեղի ունեցել հարձակումը, թեև արտահոսած բանալիները կարող են օգնել ամերիկյան մոդելներին սահմանափակ հասանելիություն ունեցող երկրների օգտատերերին ստեղծել այդ գործընթացի համար անհրաժեշտ մեծ ծավալի արդյունքներ։ Որոշ թերահավատներ այդ ձևակերպումը չափազանցություն համարեցին՝ պնդելով, որ միջադեպը սովորական խախտում էր, և որ դրա օգտագործումը դիստիլյացիայի համար ապացուցված չէ։

Չլիազորված վճարներ և փոխհատուցումներ

Գիշերվա ընթացքում մշակողները սկսել են Reddit-ում և X-ում հրապարակել ծախսերի նախազգուշացումներ և չլիազորված վճարներ։ Մի մշակող գրել է, որ OpenAI-ի, Anthropic-ի և Google AI-ի ծախսերի նախազգուշացումները քնելուց առաջ միաժամանակ գործարկվել են։ Այլ օգտատերեր հայտնել են առանձին հաշիվներում հարյուրավոր դոլարների վճարների մասին, իսկ մի քանիսը՝ $1,000-ից ավելի ընդհանուր գումարներ։

Anthropic-ը և Google-ը արգելափակել են այն բանալիները, որոնք, իրենց կարծիքով, արտահոսել էին, իսկ OpenAI-ն հայտնել է, որ OpenCode-ի հետ աշխատել է հասանելիությունը վերականգնելու և իր API հաճախորդներին հարձակման ընթացքում օգտագործված կրեդիտների համար փոխհատուցելու ուղղությամբ։ OpenCode-ը հայտնել է, որ չլիազորված վճարների փոխհատուցումն ընթացքի մեջ է։

AI պաշտպանությունը բախվեց անվտանգության ֆիլտրերին

Համահիմնադիր Dax Raad-ը հայտնել է, որ արտահոսած բանալիները սահմանափակված էին միայն Console-ով, որտեղ որոշ օգտատերեր դրանք պահում էին աշխատանքային տարածքներում, և որ բաց կոդով հավելվածն ու հրամանի տողի գործիքը չտուժեցին։ Նա հայտնել է, որ հաքերները 48 ժամ շարունակ առանց դադարի փորձել են ներխուժել համակարգեր, ինչի պատճառով թիմը ստիպված է եղել AI պաշտպանական գործակալներին աշխատեցնել շուրջօրյա։

AI մոդելները, որոնց թիմը դիմել էր վերլուծության համար, որոշ ժամանակ օգնել են, սակայն սկսել են հրաժարվել աշխատանքից, երբ ուսումնասիրության տրված վնասակար կոդն ակտիվացրել է անվտանգության ֆիլտրերը։ Ավելի ուշ OpenCode-ը հասանելիություն ստացավ OpenAI-ի Daybreak Blue ծրագրին, որը ստուգված օգտատերերին տրամադրում է AI մոդելներ, որոնք ավելի հազվադեպ են հրաժարվում պաշտպանական անվտանգության աշխատանքից, և Raad-ը հայտնել է, որ այդ հասանելիությունը բարելավել է թիմի՝ հարձակումը հետաքննելու ունակությունը։

Այս դրվագը հիշեցնում է հուլիսյան միջադեպը, երբ Hugging Face-ը հայտնել է, որ առևտրային AI մոդելները խոչընդոտել են իր փորձերին՝ վերլուծելու ավտոնոմ AI գործակալների ներխուժման մատյանները։ Նախագահի գիտության և տեխնոլոգիաների գծով խորհրդականների խորհրդի համանախագահ David Sacks-ը X-ում գրել է, որ պաշտպանիչ սահմանափակումները հակառակ արդյունք են տվել, քանի որ դրանք չեն կարող տարբերել միջադեպին արձագանքողին հարձակվողից։

OpenCode-ը չի մանրամասնել, թե ինչպես են հաքերները հասանելիություն ստացել հին համակարգին, ինչպես են պահվել բանալիները կամ որքան է չարաշահման ծավալը։ Ընկերությունը տուժած օգտատերերին խորհուրդ է տվել չեղարկել և փոխարինել բանալիները ուղղակիորեն յուրաքանչյուր մատակարարի մոտ և հայտնել, որ միջադեպը դեռ շարունակվում է։

Աղբյուրներ: TechCrunch