Хакеры атаковали AI-инструмент для программирования OpenCode, увеличив расходы в AI-аккаунтах пользователей

OpenCode, агент для программирования на базе ИИ с открытым исходным кодом, набирающий популярность среди разработчиков как альтернатива Claude Code и Cursor, сообщил в субботу, что ночью злоумышленники проникли в устаревшую систему, затронув 1,4% пользователей его онлайн-платформы OpenCode Console, где некоторые пользователи хранят ключи API, то есть цифровые пароли, используемые ими для доступа к ИИ-сервисам.

Пока команда OpenCode пыталась справиться с атакой, лихорадочная реакция на инцидент выявила растущую проблему: компаниям без проверенного доступа к ИИ-моделям с меньшим количеством ограничений безопасности трудно защищаться от масштабных кибератак с использованием ИИ.

«Прошлой ночью мы столкнулись с нарушением безопасности, связанным с масштабной атакой дистилляции, которая затронула 1,4% пользователей OpenCode Console», — написала компания в X. «Сегодня утром мы уведомили их всех по электронной почте». Компания сообщила, что пользователи, не получившие электронное письмо, не пострадали.

Хотя компания не уточнила, как именно произошла атака дистилляции, утекшие ключи API могут помочь пользователям в странах с ограниченным доступом к американским моделям генерировать большие объемы данных, необходимые для этого процесса. Некоторые скептики назвали такую формулировку преувеличением, заявив, что речь идет о простом взломе, а использование украденных данных для дистилляции остается недоказанным.

За ночь разработчики начали публиковать на Reddit и в X уведомления о расходах и сообщать о несанкционированных списаниях. «Перед сном я увидел, что у меня одновременно сработали уведомления о расходах на Open AI, Anthropic и Google AI, и начал гадать, что происходит», — написал один из разработчиков. 

Другие пользователи сообщили о списаниях в сотни долларов с отдельных аккаунтов; несколько человек рассказали о суммах свыше 1000 долларов.

Anthropic и Google заблокировали ключи API, которые, по их мнению, были раскрыты, а OpenAI сообщила, что работала с OpenCode над восстановлением доступа и возвратом средств клиентам API за кредиты, использованные в атаке. OpenCode заявила, что возврат средств за несанкционированные списания уже начался.

Раскрытые ключи находились только в Console, где некоторые пользователи хранили их в рабочих пространствах. По словам сооснователя компании Дакса Рaaда, приложение с открытым исходным кодом и инструмент командной строки не пострадали. «Обратите внимание: речь идет о OpenCode Console, а не о самом OpenCode; эти ключи к нам никогда не поступают», — написал он в X.

Даже когда пользователи и компании, занимающиеся ИИ, начали отключать раскрытые ключи, команда OpenCode по-прежнему находилась под давлением. Раад сообщил, что злоумышленники без остановки пытались проникнуть в ее системы в течение 48 часов, из-за чего команде пришлось круглосуточно поддерживать работу защитных ИИ-агентов. ИИ-модели, к которым команда OpenCode обратилась за помощью в анализе, некоторое время помогали, но затем начали отказываться работать, когда вредоносный код, который их просили изучить, активировал фильтры безопасности. 

«[Э]то немного расстраивало», — написал он в X.

Позже OpenCode получила доступ к программе OpenAI Daybreak Blue, которая предоставляет проверенным пользователям ИИ-модели, с меньшей вероятностью отказывающиеся выполнять запросы, связанные с защитой систем. Раад заявил, что этот доступ повысил способность команды расследовать атаку.

OpenCode — не первая компания, столкнувшаяся с такой проблемой. В июле ИИ-платформа Hugging Face сообщила, что коммерческие ИИ-модели заблокировали ее попытки проанализировать журналы активности после проникновения автономных ИИ-агентов. Позже OpenAI раскрыла, что это были ее собственные модели, работавшие с ослабленными мерами защиты в ходе тестирования. В разделе своего сообщения в блоге под названием «Проблема асимметрии» Hugging Face написала, что защитные механизмы «не способны отличить специалиста по реагированию на инцидент от злоумышленника». 

Исследователи в области безопасности высказывали аналогичные претензии, отмечая, что ограничения непоследовательны и вынудили некоторых специалистов обратиться к зарубежным моделям с открытыми весами, которые может скачать и запустить любой желающий.

Инцидент на выходных вызвал реакцию Дэвида Сакса, сопредседателя Совета советников президента по науке и технологиям.

«OpenCode (а ранее Hugging Face) столкнулась с одной и той же проблемой прямо во время атаки: передовые модели отказались анализировать эксплойты, необходимые для защиты, потому что содержащиеся в них полезные нагрузки срабатывали на фильтры безопасности. Защитные механизмы дали обратный эффект», — написал он в X.

Взлом произошел в ту же ночь, когда OpenCode сделала GLM-5.3-Flash бесплатной для пользователей. Более широкое семейство GLM-5.3 привлекло внимание исследователей, изучающих модели с открытыми весами и отмечающих, что его возможности в области кибербезопасности приблизились к уровням, ранее характерным для моделей с ограниченным доступом, таких как Claude Mythos Preview от Anthropic. 

OpenCode не сообщила подробностей о том, как злоумышленники получили доступ к устаревшей системе, как хранились ключи и каковы полные масштабы возможного злоупотребления. Компания посоветовала пострадавшим пользователям отозвать и заменить свои ключи непосредственно у каждого поставщика. Компания заявила, что инцидент все еще продолжается.

Взлом произошел на фоне серии киберинцидентов с использованием ИИ. Ранее в этом месяце компания по кибербезопасности CrowdStrike сообщила, что хакер из Китая, вероятно, использовал ИИ-агента для тестирования на проникновение, который ищет уязвимости в компьютерных системах, а также Claude в атаках на южнокорейские банки. На прошлой неделе индийское агентство по кибербезопасности предупредило, что ИИ-агенты, в том числе некоторые из тех, что тестируются ИИ-компаниями, получили несанкционированный доступ к системам индийских организаций.