Хакери атакували AI-інструмент для програмування OpenCode, збільшивши витрати в AI-акаунтах користувачів

OpenCode, агент для програмування зі штучним інтелектом із відкритим кодом, який набирає популярності серед розробників як альтернатива Claude Code і Cursor, у суботу повідомив, що зловмисники вночі проникли до старої системи, унаслідок чого постраждали 1,4% користувачів його онлайн-платформи OpenCode Console, де деякі користувачі зберігають ключі API, або цифрові паролі, які використовують для доступу до сервісів ШІ.

Поки команда OpenCode намагалася встигнути за розвитком атаки, поспіх із реагуванням висвітлив дедалі більшу проблему: компаніям без перевіреного доступу до моделей ШІ з меншими обмеженнями безпеки важко захищатися від масштабних кібератак на основі ШІ.

«Минулої ночі ми зазнали порушення безпеки, пов’язаного з масштабною атакою дистиляції, яка зачепила 1,4% користувачів OpenCode Console», — написала компанія в X. «Сьогодні вранці ми повідомили про це всіх електронною поштою». Компанія заявила, що користувачі, які не отримали електронного листа, не постраждали.

Хоча компанія не уточнила, як саме відбулася атака дистиляції, витік ключів API може допомогти користувачам у країнах з обмеженим доступом до американських моделей генерувати великий обсяг результатів, необхідний для цього процесу. Деякі скептики назвали таке формулювання перебільшенням, стверджуючи, що інцидент був звичайним зламом, а його використання для дистиляції залишається недоведеним.

Уночі розробники почали публікувати на Reddit і в X сповіщення про витрати та інформацію про несанкціоновані списання. «Я побачив, що всі мої сповіщення про витрати на Open AI, Anthropic і Google AI спрацювали ще до того, як я ліг спати, і почав думати, що відбувається», — написав один із розробників. 

Інші користувачі повідомили про списання сотень доларів з окремих облікових записів; кілька людей розповіли про суми понад 1 000 доларів.

Anthropic і Google заблокували ключі API, які, на їхню думку, були скомпрометовані, тоді як OpenAI заявила, що працювала з OpenCode над відновленням доступу та поверненням коштів своїм клієнтам API за кредити, використані під час атаки. OpenCode заявила, що повернення коштів за несанкціоновані списання вже розпочалося.

Скомпрометовані ключі були лише в Console, де деякі користувачі зберігали їх у робочих просторах. За словами співзасновника Dax Raad, застосунок із відкритим кодом і інструмент командного рядка не постраждали. «Зверніть увагу: йдеться про OpenCode Console, а не про сам OpenCode — ці ключі ніколи до нас не надходять», — написав він у X.

Навіть коли користувачі та компанії, що працюють у сфері ШІ, почали відключати скомпрометовані ключі, команда OpenCode усе ще перебувала під тиском. Raad повідомив, що зловмисники безперервно намагалися проникнути в її системи протягом 48 годин, через що команді довелося цілодобово підтримувати роботу захисних агентів ШІ. Моделі ШІ, до яких команда OpenCode звернулася для аналізу, певний час допомагали, але почали відмовлятися працювати, коли шкідливий код, який їх просили дослідити, активував фільтри безпеки. 

«[Ц]е було трохи неприємно», — написав він у X.

Згодом OpenCode отримала доступ до програми OpenAI Daybreak Blue, яка надає перевіреним користувачам моделі ШІ, менш схильні відмовлятися від запитів на захисну роботу у сфері безпеки. Raad заявив, що цей доступ покращив здатність команди розслідувати атаку.

OpenCode — не перша компанія, яка зіткнулася з такою проблемою. У липні платформа ШІ Hugging Face повідомила, що комерційні моделі ШІ заблокували її спроби проаналізувати журнали активності після проникнення автономних агентів ШІ, які, як згодом з’ясувала OpenAI, були її власними моделями, запущеними зі зниженим рівнем захисту під час тестування. У розділі допису в блозі під назвою «Проблема асиметрії» Hugging Face написала, що засоби захисту «не можуть відрізнити фахівця, який реагує на інцидент, від зловмисника». 

Дослідники безпеки висловлювали подібні скарги, заявляючи, що обмеження є непослідовними й підштовхнули деяких фахівців до іноземних моделей із відкритими вагами, які будь-хто може завантажити та запустити.

Події вихідних прокоментував David Sacks, співголова Президентської ради радників з питань науки й технологій.

«OpenCode (а раніше Hugging Face) під час атаки зіткнулася з тією самою проблемою: передові моделі відмовлялися аналізувати самі експлойти, необхідні для захисту, оскільки корисне навантаження активувало фільтри безпеки. Засоби захисту дали зворотний ефект», — написав він у X.

Злам стався тієї ж ночі, коли OpenCode зробила GLM-5.3-Flash безкоштовною для користувачів. Ширша лінійка GLM-5.3 привернула увагу дослідників, які вивчають моделі з відкритими вагами й зазначають, що її можливості у сфері кібербезпеки наблизилися до рівня, який раніше асоціювався з моделями з обмеженим доступом, такими як Claude Mythos Preview від Anthropic. 

OpenCode не повідомила подробиць про те, як зловмисники отримали доступ до старої системи, як зберігалися ключі та яким був повний масштаб можливого зловживання. Компанія закликала постраждалих користувачів відкликати й замінити свої ключі безпосередньо у кожного постачальника. Компанія заявила, що інцидент триває.

Злам стався на тлі низки кіберінцидентів із використанням ШІ. Раніше цього місяця компанія з кібербезпеки CrowdStrike заявила, що хакер із Китаю, ймовірно, використав агента для тестування на проникнення із застосуванням ШІ, який перевіряє комп’ютерні системи на наявність вразливостей, а також Claude під час атак на південнокорейські банки. Минулого тижня індійське агентство з кібербезпеки попередило, що агенти ШІ, зокрема деякі, які тестують компанії у сфері ШІ, отримали несанкціонований доступ до систем індійських організацій.