Хакери атакуваха AI инструмента за програмиране OpenCode и натрупаха разходи по AI акаунтите на потребители

OpenCode, агент с изкуствен интелект за програмиране с отворен код, който набира популярност сред разработчиците като алтернатива на Claude Code и Cursor, заяви в събота, че нападатели са проникнали в по-стара система през нощта, засягайки 1,4% от потребителите на онлайн платформата му OpenCode Console, където някои потребители съхраняват API ключовете, или цифровите пароли, които използват за достъп до услуги с изкуствен интелект.

Докато екипът на OpenCode се опитваше да се справи с атаката, хаотичната реакция подчерта нарастващ проблем: компаниите без проверен достъп до AI модели с по-малко ограничения за сигурност трудно се защитават срещу широкомащабни кибератаки, извършвани с помощта на изкуствен интелект.

„Снощи станахме жертва на пробив в сигурността, свързан с широкомащабна атака за дистилация, която засегна 1,4% от потребителите на OpenCode Console“, написа компанията в X. „Тази сутрин уведомихме всички засегнати по имейл.“ Потребителите, които не са получили имейл, не са били засегнати, съобщи компанията.

Макар че компанията не уточни как е извършена атаката за дистилация, изтеклите API ключове могат да помогнат на потребители в държави с ограничен достъп до американски модели да генерират големия обем отговори, необходим за този процес. Някои скептици нарекоха това определение преувеличено, като заявиха, че инцидентът е бил обикновен пробив, а използването му за дистилация остава недоказано.

През нощта разработчици започнаха да публикуват сигнали за разходи и неоторизирани таксувания в Reddit и X. „Видях как сигналите ми за разходи в Open AI, Anthropic и Google AI се задействаха, преди да си легна, чудейки се какво се случва“, написа разработчик. 

Други потребители съобщиха за таксувания на стотици долари по отделни сметки, а няколко описаха суми над 1000 долара.

Anthropic и Google блокираха API ключовете, за които смятаха, че са били разкрити, докато OpenAI заяви, че е работила с OpenCode за възстановяване на достъпа и възстановяване на сумите за своите API клиенти за кредитите, използвани при атаката. OpenCode заяви, че възстановяването на сумите за неоторизираните таксувания е в ход.

Разкритите ключове са били ограничени до Console, където някои потребители ги съхранявали в работни пространства. Приложението с отворен код и инструментът за командния ред не са били засегнати, според съоснователя Dax Raad. „Имайте предвид, че става въпрос за OpenCode Console, а не за самия OpenCode — тези ключове никога не достигат до нас“, написа той в X.

Дори когато потребителите и компаниите за изкуствен интелект започнаха да деактивират разкритите ключове, екипът на OpenCode продължаваше да е под натиск. Raad заяви, че нападателите са се опитвали непрекъснато да проникнат в системите му в продължение на 48 часа, което е наложило екипът да поддържа защитни AI агенти в действие денонощно. AI моделите, към които екипът на OpenCode се обърнал за анализ, помогнали за известно време, но започнали да отказват да работят, когато зловредният код, който били помолени да изследват, задействал филтрите за сигурност. 

„[Т]ова беше малко разочароващо“, написа той в X.

По-късно OpenCode получи достъп до програмата Daybreak Blue на OpenAI, която предоставя на проверени потребители AI модели, по-малко склонни да отказват заявки за работа по отбранителна сигурност. Raad заяви, че достъпът е подобрил способността на екипа да разследва атаката.

OpenCode не е първата компания, сблъскала се с тази пречка. През юли AI платформата Hugging Face заяви, че комерсиалните AI модели са блокирали опитите ѝ да анализира регистрационни файлове за активността при проникване от автономни AI агенти, за които OpenAI по-късно разкри, че са били нейни собствени модели, работещи с понижени защити по време на тест. В раздел от публикацията си в блога, озаглавен „Проблемът с асиметрията“, Hugging Face написа, че защитните механизми „не могат да различат реагиращия при инцидент от нападателя“. 

Изследователи по сигурността са отправяли сходни оплаквания, заявявайки, че ограниченията са непоследователни и са тласнали някои от тях към чуждестранни модели с отворени тегла, които всеки може да изтегли и използва.

Случаят от уикенда предизвика реакция от страна на Дейвид Сакс, съпредседател на Президентския съвет на съветниците по наука и технологии.

„OpenCode (а по-рано и Hugging Face) се сблъскаха със същата пречка по време на атаката: водещите модели отказаха да анализират самите експлойти, необходими за защитата, защото полезните товари задействаха филтрите за сигурност. Защитните механизми дадоха обратен ефект“, написа той в X.

Пробивът се случи същата нощ, когато OpenCode направи GLM-5.3-Flash безплатен за потребителите. По-широкото семейство GLM-5.3 привлече вниманието на изследователи, изучаващи модели с отворени тегла, които отбелязват, че възможностите му в областта на киберсигурността се доближават до нива, свързвани дотогава с модели с ограничен достъп като Claude Mythos Preview на Anthropic. 

OpenCode не е дала подробности как нападателите са получили достъп до по-старата система, как са били съхранявани ключовете или какъв е пълният обхват на евентуалната злоупотреба. Компанията е посъветвала засегнатите потребители да оттеглят и заменят ключовете си директно при всеки доставчик. Компанията заяви, че инцидентът продължава.

Пробивът се случва на фона на поредица от киберинциденти, подпомогнати от изкуствен интелект. По-рано този месец компанията за киберсигурност CrowdStrike заяви, че базиран в Китай хакер вероятно е използвал агент за тестване на прониквания, който проверява компютърни системи за уязвимости, както и Claude при атаки срещу южнокорейски банки. Миналата седмица индийската агенция за киберсигурност предупреди, че AI агенти, включително някои, тествани от компании за изкуствен интелект, са получили неоторизиран достъп до системите на индийски организации.