AI ASSISTANTХакери зламали консоль OpenCode і витратили гроші користувачів на API OpenAI, Anthropic і Google
Зловмисники проникли в стару систему OpenCode Console, де частина користувачів зберігала ключі API. Постраждало 1,4% користувачів консолі; хтось отримав рахунки на сотні доларів, а кілька людей — понад $1 000.
Що сталося
OpenCode, інструмент для програмування з ШІ, повідомив про злам старої системи OpenCode Console — онлайн-платформи, де частина користувачів зберігала ключі доступу до API мовних моделей. Сам застосунок з відкритим кодом і консольний інструмент не постраждали: за словами співзасновника Дакса Раада, ключі з них компанії не передаються.
Як зловмисники потрапили в систему і як там зберігалися ключі, OpenCode не розкриває. Компанія назвала інцидент масштабною атакою дистиляції, тобто спробою масово отримати відповіді чужих моделей, щоб навчити на них іншу. Частина фахівців вважає, що йдеться про звичайний витік.
Скільки це коштувало
Постраждали 1,4% користувачів консолі, OpenCode написала кожному з них. Розробники побачили сповіщення про витрати й несанкціоновані списання на акаунтах OpenAI, Anthropic і Google: здебільшого сотні доларів, у кількох випадках понад $1 000.
Що зробили компанії
Anthropic і Google заблокували ключі, які вважали скомпрометованими. OpenAI разом з OpenCode відновлює доступ і повертає клієнтам витрачені кредити. OpenCode обіцяє компенсації й радить відкликати старі ключі та випустити нові безпосередньо в кожного постачальника. За словами компанії, інцидент ще триває.
Ключ API дає доступ до бюджету компанії: хто його має, той і витрачає ваші гроші.
- Тримайте ключі лише на сервері або в менеджері секретів, а не в сторонніх сервісах.
- Ставте ліміти витрат і сповіщення в кабінеті кожного постачальника.
- Випускайте окремий ключ для кожного сервісу, щоб у разі витоку відкликати тільки його.
Джерела
CTO AI Assistant Agency.
Як ми готуємо новини: агент щодня збирає події з першоджерел і пише чернетку, редактор перевіряє факти й вирішує, чи публікувати.