OpenCode AIプログラミングツールが侵害され、1.4%のユーザーが影響を受けました

火星財經の情報によると、网易号『DeepTech深科技』は、オープンソースのAIプログラミングツールOpenCodeの公式が侵入を確認したと報じた。約1.4%のOpenCode Consoleユーザーが影響を受け、プラットフォームに保存されていた一部のモデルAPIキーが漏洩した可能性がある。複数の開発者が、OpenAIやAnthropicなどのモデルを呼び出すアカウントで異常な料金が発生したと報告しており、数百ドルの損失を訴える者もいれば、1700ドルを超える損失を報告する者もいる。公式は、この事件が大規模な蒸留攻撃に関連しているとし、OpenAI、Anthropic、Googleと協力して対応中であると述べている。OpenCodeはAnomalyチームの関係者によって開発され、主な創設者の一人はDax Raadであり、チームは以前SSTやOpenNextなどのプロジェクトを手がけていた。ローカルプログラムに加え、クラウドサービスのConsoleは、OpenAI、Anthropic、GoogleなどのベンダーのAPIキーをワークスペースに集中して保存し、代行して呼び出す機能を提供しているが、今回の事故はこのクラウドサービスで発生した。通知メールによると、攻撃者は廃止予定の旧システムに不正アクセスし、一部のConsoleワークスペースに保存されていたサードパーティのモデルAPIキーが露出した可能性がある。開発者のColin Parsonsは、OpenAIアカウントで約281ドル、Anthropicアカウントで約168ドルの異常な料金が発生したと報告し、Preston Zellerは約1700ドルの損失を報告した。その他のユーザーからは、Anthropicで約400ドルの異常な料金と、Googleサービスが異常利用によりアカウント制限を受けるという報告もある。OpenCodeは影響を受けたユーザーに、キーの無効化と再発行、最近の呼び出し履歴の確認を通知した。Anthropic Claude CodeチームのメンバーLydia Hallieは、AnthropicがOpenCodeと協力し、影響を受けたと見られるClaude APIキーを無効化したと述べた。OpenAIチームのメンバーTiboは、OpenCodeと協力して影響を受けたAPIユーザーの利用復旧を支援し、攻撃期間中に異常に消費されたクォータを返金すると述べている。Dax Raadは、影響を受けたのはOpenCode Consoleであり、ローカルで実行されるOpenCodeではないと明確にし、ユーザーがローカルツールで直接設定したキーはOpenCodeサーバーに送信されないと説明した。10月18日、彼はソーシャルメディア上で、攻撃者が過去48時間にわたり継続的に侵入を試みていたと述べ、チームはセキュリティ強化を進めていると明らかにした。