ჰაკერებმა OpenCode Console გატეხეს: გამჟღავნდა API გასაღებები და გაიზარდა AI ხარჯები

OpenCode, ღია კოდის AI კოდირების აგენტი, რომელიც Claude Code-ისა და Cursor-ის ალტერნატივად არის წარმოდგენილი, შაბათს უსაფრთხოების დარღვევა გაამჟღავნა: თავდამსხმელები ღამით ძველ სისტემაში შეიჭრნენ. ინციდენტმა მისი ონლაინ პლატფორმის, OpenCode Console-ის მომხმარებლების 1,4% შეეხო, სადაც ზოგი მომხმარებელი ინახავს იმ API გასაღებებს, რომლებსაც AI სერვისებზე წვდომისთვის იყენებს.

კომპანიამ X-ზე ინციდენტი ფართომასშტაბიან დისტილაციის შეტევასთან დაკავშირებულ უსაფრთხოების დარღვევად აღწერა. მისი თქმით, იმ დილით ელფოსტით აცნობა ყველა დაზარალებულ მომხმარებელს. ვინც წერილი არ მიიღო, არ დაზარალდა. კომპანიამ არ დააკონკრეტა, როგორ მოხდა დისტილაციის შეტევა, თუმცა გაჟონილი API გასაღებები ეხმარება იმ ქვეყნების მომხმარებლებს, სადაც ამერიკულ მოდელებზე წვდომა შეზღუდულია, ამ პროცესისთვის საჭირო დიდი მოცულობის გამომავალი შექმნან. ზოგი სკეპტიკოსი ამ ფორმულირებას გადაჭარბებულად მიიჩნევს და ამბობს, რომ ეს ჩვეულებრივი გატეხვა იყო და მისი დისტილაციისთვის გამოყენება ჯერ დაუმტკიცებელია.

არასანქცირებული ხარჯები და თანხის დაბრუნება

ღამით დეველოპერებმა Reddit-სა და X-ზე ხარჯვის შეტყობინებებისა და არასანქცირებული ხარჯების გამოქვეყნება დაიწყეს. ერთმა დეველოპერმა დაწერა, რომ OpenAI-ს, Anthropic-ისა და Google AI-ის ხარჯვის შეტყობინებები ძილის წინ ერთდროულად ამოქმედდა. სხვა მომხმარებლები ცალკეულ ანგარიშებზე ასობით დოლარის ხარჯზე იტყობინებოდნენ, რამდენიმემ კი 1 000 დოლარზე მეტ ჯამურ თანხაზე ისაუბრა.

Anthropic-მაც და Google-მაც დაბლოკეს API გასაღებები, რომლებიც, მათი აზრით, გამჟღავნდა. OpenAI-მ კი განაცხადა, რომ OpenCode-თან ერთად იმუშავა წვდომის აღსადგენად და თავის API მომხმარებლებს შეტევაში გამოყენებული კრედიტები აუნაზღაურა. OpenCode-ის თქმით, არასანქცირებული ხარჯების ანაზღაურება მიმდინარეობს.

AI-ზე დაფუძნებული დაცვა უსაფრთხოების ფილტრებს წააწყდა

თანადამფუძნებელმა დაქს რაადმა (Dax Raad) თქვა, რომ გამჟღავნებული გასაღებები მხოლოდ Console-ს შეეხო, სადაც ზოგი მომხმარებელი მათ სამუშაო სივრცეებში ინახავდა, ხოლო ღია კოდის აპლიკაცია და ბრძანების ხაზის ინსტრუმენტი არ დაზარალდა. მისი თქმით, თავდამსხმელები 48 საათის განმავლობაში უწყვეტად ცდილობდნენ სისტემებში შეღწევას, რის გამოც გუნდს AI დამცავი აგენტები უწყვეტ რეჟიმში უნდა ემუშავებინა.

AI მოდელები, რომლებსაც გუნდი ანალიზისთვის მიმართა, გარკვეული დროის განმავლობაში ეხმარებოდნენ, მაგრამ მუშაობაზე უარის თქმა დაიწყეს, როცა გასაანალიზებელი მავნე კოდი უსაფრთხოების ფილტრებს ააქტიურებდა. მოგვიანებით OpenCode-მა OpenAI-ის Daybreak Blue პროგრამაზე წვდომა მიიღო, რომელიც შემოწმებულ მომხმარებლებს აძლევს AI მოდელებს, რომლებიც ნაკლებად ხშირად უარს ამბობენ თავდაცვითი უსაფრთხოების სამუშაოს შესრულებაზე. რაადის თქმით, ამ წვდომამ გუნდის შესაძლებლობები შეტევის გამოძიებისას გააუმჯობესა.

ეს ეპიზოდი ივლისის ინციდენტს იმეორებს, როცა AI პლატფორმა Hugging Face-მა განაცხადა, რომ კომერციულმა AI მოდელებმა ხელი შეუშალეს მის მცდელობებს, გაეანალიზებინა აქტივობის ლოგები ავტონომიური AI აგენტების მიერ განხორციელებული შეღწევიდან. მეცნიერებისა და ტექნოლოგიების საკითხებში პრეზიდენტის მრჩეველთა საბჭოს თანათავმჯდომარემ დევიდ საქსმა X-ზე დაწერა, რომ დამცავი ბარიერები საპირისპირო შედეგს იძლევა, რადგან ვერ არჩევენ ინციდენტზე რეაგირებულ სპეციალისტს თავდამსხმელისგან.

OpenCode-ს არ დაუკონკრეტებია, როგორ მიიღეს თავდამსხმელებმა წვდომა ძველ სისტემაზე, როგორ ინახებოდა გასაღებები და რამდენად ფართო იყო შესაძლო ბოროტად გამოყენება. კომპანიამ დაზარალებულ მომხმარებლებს ურჩია, გააუქმონ და შეცვალონ გასაღებები უშუალოდ თითოეულ პროვაიდერთან, და განაცხადა, რომ ინციდენტი ჯერ კიდევ გრძელდება.

წყაროები: TechCrunch