Відкритий AI-програмний агент OpenCode останнім часом набирає популярності серед розробників як альтернатива Claude Code та Cursor. У суботу компанія повідомила, що зловмисники за одну ніч взяли під контроль їхню старішу систему, що вплинуло на 1,4% користувачів онлайн-платформи OpenCode Console. Деякі користувачі зберігають на цій платформі API-ключі для доступу до AI-сервісів — тобто цифрові паролі.
Під час того як команда OpenCode намагається впоратися з атакою, ця екстрена реакція також підкреслює все більш серйозну проблему: компаніям, які використовують AI-моделі, що не пройшли перевірку та мають обмежений доступ, важко протистояти масштабним, спрямованим за допомогою AI кібератакам.
OpenCode у X написав: «Вчора вночі ми зіткнулися з безпековою вразливістю, пов’язаною з масштабною атакою дистиляції, яка вплинула на 1,4% користувачів OpenCode Console. Ми повідомили всіх зачітних користувачів електронною поштою сьогодні вранці». Компанія зазначила, що користувачі, які не отримали листа, не були вплинуті.
Компанія не пояснила, як відбулася ця атака з витоком. Однак витік API-ключів може допомогти користувачам з країн, де доступ до моделей США обмежений, генерувати велику кількість вихідних даних, необхідних для цього процесу. Деякі скептики вважають, що це твердження трохи перебільшене, стверджуючи, що цей інцидент був просто звичайним вторгненням, і його використання для дистиляції ще не підтверджено.
В ніч події розробники почали публікувати сповіщення про витрати та інформацію про неавторизовані зняття на Reddit та X. Один із розробників написав: «Під час сну я побачив, що всі сповіщення про витрати на OpenAI, Anthropic та Google AI спрацювали, і не мав уявлення, що відбувається».
Інші користувачі зазначили, що з одного акаунту було списано сотні доларів; деякі заявили, що загальна сума перевищила 1000 доларів.
Anthropic та Google заблокували API-ключі, які вважали витікшими, тоді як OpenAI повідомила, що співпрацює з OpenCode для відновлення доступу та повернення балів своїм API-клієнтам, використаних під час атаки. OpenCode заявила, що повернення коштів за неавторизовані платежі вже проводиться.
Відкриті ключі стосувалися лише Console, де деякі користувачі зберігали їх у робочих просторах. Співзасновник Дакс Раад заявив, що відкриті додатки та інструменти командного рядка не постраждали. Він написав у X: «Зверніть увагу, це OpenCode Console, а не сам OpenCode — ці ключі ніколи не потрапляли до нас».
Навіть якщо користувачі та компанії з штучним інтелектом намагаються вимкнути ці відкриті ключі, команда OpenCode все ще під тиском. Раад сказав, що зловмисники протягом 48 годин безперервно намагалися взломати їхню систему, змушуючи команду працювати в режимі 24/7 з AI-агентами захисту. Моделі штучного інтелекту, які використовувала команда OpenCode для аналізу, спочатку допомагали, але коли їм було запропоновано перевірити шкідливий код, що тригерило системи безпеки, вони почали відмовлятися працювати.
Він написав у X: «Це трохи розчаровує».
Після цього OpenCode отримав доступ до програми Daybreak Blue від OpenAI. Ця програма надає перевіреним користувачам моделі ШІ, які менш схильні відмовляти в запитах на безпечні заходи. Раад зазначив, що цей доступ підвищив здатність команди розслідувати цю атаку.
OpenCode — не перша компанія, яка зіткнулася з цією проблемою. У липні AI-платформа Hugging Face повідомила, що комерційні AI-моделі завадили їй проаналізувати журнали атаки, запущеної автономними AI-агентами; пізніше OpenAI розкрила, що ці агенти насправді були їхніми власними моделями, які були протестовані зі зниженими обмеженнями безпеки. Hugging Face у статті на блозі під заголовком «Асиметрична проблема» написала, що механізми захисту «не можуть розрізняти відповідачів на інциденти та нападників».
Безпекові дослідники також висловлювали подібні скарги, стверджуючи, що ці обмеження не є послідовними, і це змушує деяких перейти на іноземні відкриті моделі з вагами, оскільки будь-хто може завантажити та запустити ці моделі.
На цих вихідних події викликали відгук співголови Ради з науково-технічної політики президента США Девіда Сакса.
Він написав у X: «OpenCode (а також раніше Hugging Face) зіткнулися з тією ж стіною посеред атаки: передові моделі відмовлялися аналізувати експлойти, необхідні для захисту, оскільки завантаження спрацьовувало фільтри безпеки. Захисні механізми працюють проти себе».
Цей випадок вторгнення відбувся в ту ж ніч, коли OpenCode безкоштовно відкрила GLM-5.3-Flash для користувачів. Більш широка серія GLM-5.3 привернула увагу дослідників, що вивчають відкриті вагові моделі, які зазначили, що кібербезпека цієї серії наблизилася до рівня, який раніше був характерний лише для моделей з обмеженим доступом, наприклад, Claude Mythos Preview від Anthropic.
OpenCode ще не розкрила деталей про те, як зловмисники отримали доступ до старої системи, як зберігалися ключі або повний масштаб зловживань. Компанія попросила вплинутих користувачів безпосередньо відкликати та замінювати ключі у своїх постачальників послуг. Компанія зазначила, що ця подія все ще триває.
Ця інцидент відбулася на тлі зростання кількості мережевих подій з використанням ШІ. На початку цього місяця компанія з кібербезпеки CrowdStrike повідомила, що підозрюваний хакер з Китаю, ймовірно, використовував агенти для тестування проникнення з використанням ШІ та Claude під час атак на корейські банки. На минулому тижні індійський орган кібербезпеки попередив, що деякі агенти ШІ, включаючи тих, що тестувалися компаніями ШІ, несанкціоновано потрапили до систем індійських організацій.