Открытый AI-программный агент OpenCode недавно стал популярным среди разработчиков и рассматривается как альтернатива Claude Code и Cursor. В субботу компания сообщила, что злоумышленники за одну ночь взломали их более старую систему, что затронуло 1,4% пользователей на онлайн-платформе OpenCode Console. Некоторые пользователи хранят на этой платформе API-ключи для доступа к AI-сервисам, то есть цифровые пароли.
В то время как команда OpenCode борется с атакой, эта экстренная ситуация также подчеркивает растущую проблему: компаниям, использующим необзорные ИИ-модели с ограниченными ограничениями доступа, трудно противостоять масштабным ИИ-ориентированным кибератакам.
OpenCode в X написал: «Вчера вечером мы столкнулись с уязвимостью безопасности, связанной с масштабной атакой по методу дистилляции, которая затронула 1,4% пользователей OpenCode Console. Мы уведомили всех пострадавших пользователей по электронной почте сегодня утром». Компания заявила, что пользователи, не получившие письмо, не затронуты.
Компания не уточнила, как произошло это дистилляционное нападение. Однако утекшие API-ключи могли помочь пользователям из стран с ограниченным доступом к американским моделям сгенерировать большое количество выходных данных, необходимых для этого процесса. Некоторые скептики считают, что это утверждение преувеличено, и полагают, что инцидент был обычным взломом, причем использование его для дистилляции пока не подтверждено.
В ночь инцидента разработчики начали публиковать уведомления о расходах и информацию о неавторизованных списаниях на Reddit и X. Один из разработчиков написал: «Перед сном я увидел, что все уведомления о расходах на OpenAI, Anthropic и Google AI сработали, и не понял, что происходит».
Другие пользователи сообщили, что с одного аккаунта было списано сотни долларов; некоторые заявили, что общая сумма превысила 1000 долларов.
Anthropic и Google заблокировали свои API-ключи, которые, по их мнению, были скомпрометированы, а OpenAI сообщила, что сотрудничает с OpenCode для восстановления доступа и возмещения баллов, использованных во время атаки, своим клиентам API. OpenCode заявила, что возмещение за неавторизованные списания уже в процессе.
Экспонированные ключи ограничиваются только Console, некоторые пользователи хранили их в рабочих областях. Сооснователь Дакс Раад заявил, что открытые приложения и инструменты командной строки не затронуты. Он написал в X: «Обратите внимание, что это OpenCode Console, а не сам OpenCode; эти ключи никогда не попадали к нам».
Даже если пользователи и компании ИИ пытаются отключить эти раскрытые ключи, команда OpenCode испытывает давление. Раад говорит, что злоумышленники непрерывно пытаются взломать их систему в течение 48 часов, заставляя команду круглосуточно запускать ИИ-агенты защиты. ИИ-модели, используемые командой OpenCode для анализа, сначала помогали, но начали отказываться работать, когда запрошенные для проверки вредоносные коды триггерили системы безопасности.
Он написал в X: «Это немного расстраивает.»
Затем OpenCode получила доступ к программе OpenAI Daybreak Blue. Эта программа предоставляет проверенным пользователям модели ИИ с менее агрессивными защитными механизмами, блокирующими запросы. Раад отметил, что этот доступ повысил способность команды расследовать эту атаку.
OpenCode — не первая компания, столкнувшаяся с этой проблемой. В июле платформа ИИ Hugging Face сообщила, что коммерческие модели ИИ помешали ей проанализировать журналы атаки, инициированной автономными ИИ-агентами; позже OpenAI раскрыла, что эти агенты на самом деле были собственными моделями компании, просто с пониженными ограничениями безопасности в ходе тестирования. Hugging Face в блог-посте, озаглавленном «Асимметричная проблема», написала, что механизмы защиты «не могут различить реагирующего и нападающего».
Безопасностные исследователи также высказывали аналогичные жалобы, что эти ограничения несогласованы, и это побуждает некоторых перейти на иностранные открытые весовые модели, которые может скачать и запустить любой.
На это событие в эти выходные также отреагировал сопредседатель Совета по научно-технической политике президента США Дэвид Сакс.
Он написал в X: «OpenCode (а также более ранняя Hugging Face) столкнулись с той же проблемой посреди атаки: передовые модели отказываются анализировать эксплойты, необходимые для защиты, потому что нагрузка триггерит фильтры безопасности. Барьеры работают против себя».
Взлом произошел в ту же ночь, когда OpenCode бесплатно открыла GLM-5.3-Flash для пользователей. Более широкая серия GLM-5.3 привлекла внимание исследователей, изучающих открытые весовые модели, которые отметили, что возможности кибербезопасности этой серии приблизились к уровню, ранее характерному только для моделей с ограниченным доступом, таких как Claude Mythos Preview от Anthropic.
OpenCode еще не подробно объяснила, как злоумышленники получили доступ к старой системе, как хранились ключи или полный масштаб злоупотреблений. Компания попросила пострадавших пользователей напрямую отозвать и заменить ключи у своих поставщиков услуг. Компания заявила, что инцидент продолжается.
Этот инцидент произошел на фоне роста числа кибератак с использованием ИИ. В начале этого месяца компания по кибербезопасности CrowdStrike сообщила, что предполагаемый хакер из Китая, возможно, использовал ИИ-агенты для тестирования на проникновение и Claude в атаках на южнокорейские банки. На прошлой неделе индийский орган кибербезопасности предупредил, что ИИ-агенты, включая некоторые агенты, протестированные компаниями ИИ, несанкционированно проникли в системы индийских организаций.