Злам OpenCode: ключі API для ШІ витекли, з'явилися рахунки

OpenCode — відкритий ШІ-агент для програмування, до якого можна підключати моделі різних провайдерів, — підтвердив інцидент безпеки. У дописі в X у суботу компанія повідомила, що злам пов'язаний із «масштабною дистиляційною атакою» і зачепив 1,4% користувачів OpenCode Console. Постраждали ті, хто підключав зовнішніх провайдерів, і всім їм надіслали листи. Хто листа не отримав, того, за словами OpenCode, інцидент не стосується.

Що саме витекло

Як пише Notebookcheck з посиланням на лист компанії, хтось отримав несанкціонований доступ до застарілої системи, яку OpenCode саме виводив з експлуатації. Під загрозою опинилися ключі API сторонніх сервісів, збережені в робочих просторах, зокрема від OpenAI та Anthropic. Ключ API — це щось на кшталт платіжної картки для ШІ-сервісу: хто ним володіє, той надсилає запити, а платить власник.

Саме це, за словами користувачів, і сталося. В обговоренні на Reddit, яке цитує Notebookcheck, один користувач повідомив про $400 несанкціонованих витрат в Anthropic. Інший розповів, що рахунок у Google сягнув приблизно 200 €, а проєкт заблокували через зловживання. Ще один отримав попередження про витрати від OpenAI та Anthropic раніше, ніж лист від OpenCode. Дехто також скаржився на проблеми із входом у сервіс.

«Дистиляція» — це збирання великої кількості відповідей однієї моделі ШІ, щоб навчити на них іншу. Формулювання OpenCode натякає, що вкрадені ключі використовували саме для таких запитів коштом жертв, але компанія каже, що інцидент ще триває, і більше деталей поки не дає. OpenCode працює з Anthropic, OpenAI та Google, щоб усунути наслідки.

Що робити користувачам OpenCode

Навіть якщо вас це не зачепило, саме час перевірити, де зберігаються ваші ШІ-ключі. Інструменти для програмування змінюються швидко — як-от нещодавня зміна моделей за замовчуванням у Replit, — і кожен сервіс, якому ви довіряєте ключ, — ще одне місце, звідки він може витекти. Для частини задач модель можна запускати локально й узагалі обійтися без ключів; у нашому гіді про ноутбук для локального ШІ пояснюємо, яке залізо для цього потрібне.