Хакерлер OpenCode пайдаланушыларының API-кілттерін ұрлады

Бағдарлама жазатын OpenCode ЖИ-агентінің әзірлеушісі бұзылғанын мойындады. 17 қазанға қараған түні шабуылшылар пайдаланушылар сервистің бұлттық консолінде сақтаған OpenAI, Anthropic және Google кілттеріне қол жеткізді. Компания шабуылды «ауқымды дистилляциямен» байланыстырып, зардап шеккендерге кілттерді тез арада қайта шығаруды сұрады.

OpenCode — кодты тікелей терминалда жазатын ашық ЖИ-агент. Оны американдық Anomaly Innovations компаниясы жасайды, бұрын ол SST деп аталған. Пайдаланушылар агентке модельдерге кіруге арналған өз кілттерін қосады, ал әр сұраныс үшін провайдерге өздері төлейді.

Не болды

Компания X желісіндегі мәлімдемесінде бұзу OpenCode Console пайдаланушыларының 1,4%-ына тигенін айтты. Яғни сыртқы провайдерлерді қосқандар зардап шекті. Оларға «Әрекет қажет: провайдер кілті жылыстауы мүмкін» деген тақырыппен хат жіберілді.

Startup Fortune мәліметінше, шабуылшылар компания жаңа ғана жұмыстан шығарып жатқан ескі консоль арқылы кірген. Anomaly Innovations кілттерге алғашқы қол жеткізуді 17 қазан, UTC бойынша шамамен 00:30 деп белгілейді. Пайдаланушыларға хат 22 сағаттай кейін келе бастады, ал нақты қай кілттер зардап шеккені 18 қазанда ғана айтылды.

Осы уақытта ұрланған кілттер іске қосылып та үлгерді. Бір пайдаланушы ескерту келмей тұрып Claude API-ге бөтен сұраныстарды байқаған. Басылымның дерегінше, енді біреуі шамамен $100-лық бөтен трафикті төлеген. Компания кілттер теріс пайдаланылғанын растай алмайтынын, басқа деректер жылыстағаны әзірге табылмағанын айтады.

Кілтті не үшін ұрлайды

Дистилляция дегеніміз — арзан модельді күштірек модельдің жауаптарымен оқыту. Бөтен кілттер озық модельдер арқылы орасан көп сұранысты басқаның есебінен жіберуге мүмкіндік береді. Шабуыл артында кім тұрғанын және нақты не жиналғанын OpenCode ашпады.

Зардап шеккендерге кілттерді хаттағы сілтеме арқылы емес, тікелей OpenAI, Anthropic және Google кабинеттерінде қайтарып алып, қайта шығару ұсынылады. Сондай-ақ 17 қазаннан бергі шығынды тексеріп, шығын лимитін қойып, ескі кілттерді барлық скриптте және әріптестерде ауыстыру керек. OpenCode құжаттамасында агент жүйеден оқшауланбағаны бөлек жазылған, сондықтан оны Docker-де немесе виртуал машинада іске қосу ұсынылады.

OpenCode-ты Қазақстандағы әзірлеушілер де пайдаланады. Елде зардап шеккендер туралы бөлек дерек жоқ. Алайда сервис консоліне өз кілтін қосқандар оны қазір қайта шығарғаны жөн.

Дереккөздер: Startup Fortune — OpenCode кілттерінің жылыстауы туралы толығырақ, explainx.ai — OpenCode-тың бұзу туралы мәлімдемесі, Techmeme — оқиға бойынша шолу