Alat Pemrograman OpenCode AI Mengalami Pelanggaran, 1.4% Pengguna Terkesan

Mars Finance melaporkan, menurut laporan dari Nomor NetEase "DeepTech Deep Technology", alat pengaturan AI sumber terbuka OpenCode secara rasmi mengesahkan bahawa ia telah diserang, dengan sekitar 1.4% pengguna OpenCode Console terjejas, dan sebahagian kunci API model yang disimpan di platform mungkin telah bocor. Beberapa pembangun melaporkan caj tidak biasa pada akaun yang digunakan untuk memanggil model seperti OpenAI dan Anthropic, dengan seseorang melaporkan kerugian berjumlah ratusan dolar, dan yang lainnya menyatakan lebih daripada 1700 dolar. Pihak rasmi menyatakan peristiwa ini berkaitan dengan serangan pemampatan berskala besar, dan sedang bekerjasama dengan OpenAI, Anthropic, dan Google untuk menangani isu ini. OpenCode dibangunkan oleh individu daripada pasukan Anomaly, dengan salah seorang pencipta utama ialah Dax Raad; pasukan ini sebelum ini terlibat dalam projek seperti SST dan OpenNext. Selain program tempatan, perkhidmatan awan Console-nya membolehkan pengguna menyimpan secara terpusat kunci API dari penerbit seperti OpenAI, Anthropic, dan Google di ruang kerja, serta memanggilnya atas nama pengguna—kejadian ini berlaku pada perkhidmatan awan ini. E-mel pemberitahuan menyatakan bahawa penyerang mendapat akses tanpa kebenaran kepada satu sistem lama yang sedang diberhentikan, dan sebahagian kunci API model pihak ketiga dalam ruang kerja Console mungkin telah terdedah. Pembangun Colin Parsons melaporkan caj tidak biasa sebanyak kira-kira 281 dolar pada akaun OpenAI dan 168 dolar pada akaun Anthropic, manakala Preston Zeller melaporkan kerugian kira-kira 1700 dolar. Pengguna lain juga melaporkan caj tidak biasa sebanyak kira-kira 400 dolar pada Anthropic, serta batasan akaun yang dipicu oleh penggunaan tidak biasa pada perkhidmatan Google. OpenCode telah memberitahu pengguna yang terjejas untuk mencabut dan mengganti kunci mereka, serta memeriksa rekod panggilan terkini. Lydia Hallie, ahli pasukan Anthropic Claude Code, menyatakan bahawa Anthropic telah bekerjasama dengan OpenCode dan telah mencabut kunci API Claude yang dianggap terjejas. Tibo, ahli pasukan OpenAI, menyatakan bahawa mereka sedang bekerjasama dengan OpenCode untuk membantu pengguna API yang terjejas pulihkan akses mereka serta mengembalikan kuota yang telah digunakan secara tidak sah semasa serangan. Dax Raad menegaskan bahawa yang terjejas ialah OpenCode Console, bukan OpenCode yang berjalan secara tempatan; kunci yang dikonfigurasi secara langsung dalam alat tempatan tidak akan dihantar ke pelayan OpenCode. Pada 18 Oktober, beliau menyatakan di platform sosial bahawa penyerang terus cuba menyusup dalam 48 jam terakhir, dan pasukan sedang memperkuat pertahanan.