ШІ-асистент для програмування OpenCode повідомив про безпековий інцидент, який стався в ніч на суботу. Зловмисники зламали застарілу систему онлайн-платформи OpenCode Console, чим зачепили приблизно 1,4% користувачів сервісу. Деякі з них зберігали в робочих просторах свої цифрові паролі та API-ключі для доступу до сторонніх штучних інтелектів.
Вранці постраждалі почали масово скаржитися в соцмережах на непередбачувані сповіщення про витрати від Anthropic, OpenAI та Google. Суми в окремих акаунтах сягали сотень і навіть тисяч доларів. За словами співзасновника проєкту Дакса Раада, сама консоль стала мішенню, тоді як відкритий інструмент командного рядка не постраждав, оскільки ключів не зберігає.
Представники компанії заявили, що інцидент супроводжувався масштабною атакою дистиляції, хоча скептики назвали це перебільшенням. Розробники зазначили, що під час розслідування зіткнулися з проблемою обмежень безпеки самих моделей: захисні фільтри блокували аналіз шкідливого коду. Проблему вдалося частково вирішити після отримання доступу до спеціальної програми OpenAI з менш жорсткими лімітами для оборонних задач.
Провідні ШІ-провайдери вже відреагували на ситуацію: Anthropic та Google заблокували скомпрометовані ключі, а OpenAI пообіцяла повернути кошти за кредити, використані під час атаки. Команда OpenCode також готує компенсації за несанкціоновані списання. Постраждалим радять самостійно анулювати та оновити свої ключі безпосередньо у кожного провайдера.
Джерела: techcrunch.com
