Hackerek szerezték meg az OpenCode-felhasználók API-kulcsait
Az OpenCode közölte, hogy támadók betörtek egy régebbi rendszerébe, és az incidens az OpenCode Console felhasználóinak 1,4 százalékát érintette. A Console-ban egyes fejlesztők olyan API-kulcsokat, vagyis digitális hozzáférési jelszavakat tároltak, amelyekkel mesterségesintelligencia-szolgáltatásokat érhettek el. A cég minden érintett felhasználót e-mailben értesített, és hangsúlyozta, hogy az ingyenes, nyílt forráskódú alkalmazás, valamint a parancssoros eszköz nem volt érintett.
A kiszivárgott kulcsokkal illetéktelenek több szolgáltatásban is költségeket okoztak. Fejlesztők az OpenAI, az Anthropic és a Google AI használatához kapcsolódó riasztásokról, több száz dolláros, egyes esetekben 1000 dollárt meghaladó terhelésekről számoltak be. Az Anthropic és a Google letiltotta az általuk veszélyeztetettnek ítélt kulcsokat, az OpenAI pedig az OpenCode-dal együttműködve dolgozott a hozzáférések helyreállításán és az érintett ügyfelek visszatérítésén.
Az OpenCode szerint a támadás egy nagy léptékű „distillation” művelethez kapcsolódhatott, amelyhez nagy mennyiségű modellkimenetre lehet szükség, ezt azonban egyesek nem tartották bizonyítottnak. A cég védekezését nehezítette, hogy az elemzéshez használt mesterségesintelligencia-modellek a gyanús kód vizsgálatakor biztonsági szűrők miatt megtagadták a segítséget. Később az OpenCode hozzáférést kapott az OpenAI Daybreak Blue programjához, amely védelmi célú biztonsági munkára kevésbé elutasító modelleket biztosít.