Утечка API-ключей OpenAI, Anthropic и Google из OpenCode

Разработчики опенсорсного ИИ-агента OpenCode сообщили об утечке API-ключей крупных провайдеров. Злоумышленники получили доступ к ключам OpenAI, Anthropic и Google через уязвимости в облачной консоли проекта.

Атака затронула около 1,4% пользователей сервиса. Ключи из CLI и десктопного приложения не пострадали, так как хранятся локально в SQLite и не передаются на серверы.

Последствия инцидента включают финансовые потери и блокировку ресурсов

• У некоторых пользователей прошли списания средств без их ведома, сумма ущерба достигала 1700 долларов
• Google Cloud приостановил проекты пострадавших из-за признаков злоупотребления ресурсами

Сооснователь проекта Дакс Раад рассказал, что атакующие использовали ИИ-агентов для взлома инфраструктуры. Процесс занял не менее 48 часов, при этом фильтры безопасности моделей затрудняли атаку до получения доступа к версии с мягкими ограничениями.

В компании связывают инцидент с масштабной атакой ради дистилляции ИИ-моделей. Точные детали того, какие именно модели подверглись краже, не раскрываются.

Рекомендации по защите данных

• Немедленно отзовите ключи у провайдера и выпустите новые
• Простое удаление ключа из консоли бесполезно, так как украденная копия продолжает работать

Пострадавшим пользователям пообещали возможную компенсацию ущерба. Для получения дополнительной информации о безопасности проекта можно обратиться к официальным источникам.