OpenCode, đại diện lập trình AI mã nguồn mở, gần đây đang ngày càng được ưa chuộng trong cộng đồng nhà phát triển như một giải pháp thay thế cho Claude Code và Cursor. Vào thứ Bảy, công ty cho biết các kẻ tấn công đã xâm nhập vào hệ thống cũ của họ trong một đêm, ảnh hưởng đến 1,4% người dùng trên nền tảng trực tuyến OpenCode Console. Một số người dùng lưu trữ khóa API để truy cập dịch vụ AI — tức là mật khẩu kỹ thuật số — trên nền tảng này.
Trong khi đội ngũ OpenCode đang nỗ lực ứng phó với cuộc tấn công, sự cố khẩn cấp này cũng làm nổi bật một vấn đề ngày càng nghiêm trọng: các công ty sử dụng các mô hình AI chưa được kiểm duyệt và có ít hạn chế về quyền truy cập rất khó chống lại các cuộc tấn công mạng quy mô lớn do AI thúc đẩy.
OpenCode trên X viết: “Chúng tôi đã gặp một lỗ hổng bảo mật liên quan đến cuộc tấn công chưng cất quy mô lớn, ảnh hưởng đến 1,4% người dùng OpenCode Console. Chúng tôi đã thông báo cho tất cả người dùng bị ảnh hưởng qua email vào sáng nay.” Công ty cho biết những người dùng không nhận được email là không bị ảnh hưởng.
Công ty chưa giải thích chi tiết cách cuộc tấn công tinh luyện này xảy ra. Tuy nhiên, các khóa API bị rò rỉ có thể đã giúp người dùng ở các quốc gia bị hạn chế truy cập vào mô hình của Mỹ tạo ra lượng đầu ra lớn cần thiết cho quá trình này. Một số người hoài nghi cho rằng lời giải thích này có phần phóng đại, cho rằng sự kiện này chỉ là một cuộc xâm nhập thông thường và chưa có bằng chứng xác thực rằng nó đã được sử dụng để tinh luyện.
Vào đêm xảy ra sự việc, các nhà phát triển bắt đầu đăng các cảnh báo chi tiêu và thông tin về các khoản trừ không được ủy quyền trên Reddit và X. Một nhà phát triển viết: “Tôi nhìn thấy tất cả các cảnh báo chi tiêu cho OpenAI, Anthropic và Google AI của mình đều kêu lên trước khi đi ngủ, không biết chuyện gì đã xảy ra.”
Các người dùng khác cho biết tài khoản cá nhân bị trừ数百美元; một số ít người cho biết tổng cộng vượt quá 1000 đô la.
Anthropic và Google đều đã vô hiệu hóa các khóa API mà họ cho là đã bị rò rỉ, trong khi OpenAI cho biết đã hợp tác với OpenCode để khôi phục quyền truy cập và hoàn lại điểm cho các khách hàng API bị sử dụng trong cuộc tấn công này. OpenCode cho biết việc hoàn tiền cho các khoản phí không được ủy quyền đang được tiến hành.
Chìa khóa bị lộ chỉ giới hạn ở Console, một số người dùng đã lưu chúng trong không gian làm việc. Đồng sáng lập Dax Raad cho biết các ứng dụng mã nguồn mở và công cụ dòng lệnh không bị ảnh hưởng. Anh ấy viết trên X: “Lưu ý, đây là OpenCode Console, không phải OpenCode chính, những chìa khóa này chưa bao giờ đến tay chúng tôi.”
Mặc dù cả người dùng lẫn các công ty AI đều đang nỗ lực vô hiệu hóa những khóa bị lộ, đội ngũ OpenCode vẫn chịu áp lực lớn. Raad cho biết, kẻ tấn công đã liên tục cố gắng xâm nhập hệ thống của họ trong 48 giờ liền, buộc đội ngũ phải vận hành các đại lý bảo vệ AI 24/7. Các mô hình AI mà đội ngũ OpenCode sử dụng để phân tích ban đầu đã hỗ trợ, nhưng khi chúng được yêu cầu kiểm tra các mã độc kích hoạt bộ lọc bảo mật, chúng bắt đầu từ chối hoạt động.
Anh ấy viết trên X: “Điều này hơi khiến bạn nản lòng.”
Sau đó, OpenCode đã nhận được quyền truy cập vào chương trình Daybreak Blue của OpenAI. Chương trình này cung cấp cho người dùng đã được kiểm duyệt các mô hình AI ít có khả năng từ chối các yêu cầu bảo mật phòng thủ. Raad cho biết quyền truy cập này đã nâng cao khả năng điều tra cuộc tấn công của nhóm.
OpenCode không phải là công ty đầu tiên gặp phải vấn đề này. Vào tháng 7, nền tảng AI Hugging Face cho biết các mô hình AI thương mại đã ngăn cản việc phân tích nhật ký một cuộc xâm nhập do các đại lý AI tự chủ khởi động; sau đó, OpenAI tiết lộ rằng các đại lý này thực chất là mô hình của chính họ, chỉ là đã giảm các hạn chế bảo mật trong quá trình thử nghiệm. Hugging Face đã viết trong bài đăng blog với tiêu đề “Vấn đề bất đối xứng” rằng các cơ chế phòng vệ “không thể phân biệt được người phản ứng sự cố và kẻ tấn công”.
Các nhà nghiên cứu bảo mật cũng đã đưa ra những lời phàn nàn tương tự, cho rằng các hạn chế này không nhất quán và đã thúc đẩy một số người chuyển sang các mô hình trọng số mã nguồn mở nước ngoài, vì bất kỳ ai cũng có thể tải xuống và chạy các mô hình này.
Sự kiện cuối tuần này cũng đã nhận được phản hồi từ đồng chủ tịch Ủy ban Cố vấn Khoa học và Công nghệ của Tổng thống Hoa Kỳ, David Sacks.
Anh ấy viết trên X: “OpenCode (và cả Hugging Face trước đó) đã va phải cùng một bức tường khi cuộc tấn công đang diễn ra: các mô hình tiên tiến từ chối phân tích các lỗ hổng cần thiết để phòng thủ, vì tải trọng kích hoạt các bộ lọc bảo mật. Hàng rào bảo vệ đã phản tác dụng.”
Cuộc xâm nhập này xảy ra vào cùng đêm OpenCode miễn phí phát hành GLM-5.3-Flash cho người dùng. Chuỗi GLM-5.3 rộng hơn đã thu hút sự chú ý của các nhà nghiên cứu về mô hình trọng số nguồn mở, những người chỉ ra rằng khả năng bảo mật mạng của chuỗi này đã gần đạt mức thường thấy ở các mô hình chỉ được truy cập hạn chế, chẳng hạn như Claude Mythos Preview của Anthropic.
OpenCode chưa làm rõ chi tiết cách kẻ tấn công xâm nhập vào hệ thống cũ, cách lưu trữ khóa, hoặc phạm vi đầy đủ của các hành vi lạm dụng. Công ty đã yêu cầu người dùng bị ảnh hưởng trực tiếp thu hồi và thay thế khóa tại nhà cung cấp dịch vụ của họ. Công ty cho biết sự cố này vẫn đang tiếp diễn.
Cuộc xâm nhập này xảy ra trong bối cảnh các sự kiện mạng được hỗ trợ bởi AI đang gia tăng. Đầu tháng này, công ty an ninh mạng CrowdStrike cho biết một tin tặc nghi có nguồn gốc từ Trung Quốc có thể đã sử dụng các đại lý kiểm thử xâm nhập AI và Claude trong cuộc tấn công nhắm vào các ngân hàng Hàn Quốc. Tuần trước, cơ quan an ninh mạng Ấn Độ cảnh báo rằng các đại lý AI, bao gồm một số đại lý đang được các công ty AI kiểm thử, đã truy cập trái phép vào hệ thống của các tổ chức Ấn Độ.