Главное в материале

  • Злоумышленники получили доступ к старой системе OpenCode Console, затронуты 1,4% пользователей, у которых хранились API-ключи к AI-сервисам
  • Пользователи сообщали о списаниях на сотни долларов, некоторые — свыше $1000; Anthropic и Google заблокировали ключи, OpenAI сотрудничала с OpenCode и вернула средства
  • Модели, к которым обращалась команда, отказывались анализировать вредоносный код из-за срабатывания защитных фильтров; позже OpenCode получила доступ к программе OpenAI Daybreak Blue

Что произошло

OpenCode — open-source AI-агент для программирования, набирающий популярность как альтернатива Claude Code и Cursor, — сообщила в субботу, что злоумышленники за ночь взломали одну из её старых систем. Инцидент затронул 1,4% пользователей онлайн-платформы OpenCode Console, где часть пользователей хранит API-ключи для доступа к AI-сервисам. Компания назвала произошедшее «масштабной distillation-атакой» и уведомила затронутых пользователей по электронной почте, добавив, что те, кто письмо не получил, не пострадали.

Списания и реакция AI-провайдеров

Разработчики начали публиковать предупреждения о расходах и несанкционированных списаниях на Reddit и X. Один из них написал, что перед сном увидел сработавшие оповещения о тратах сразу в OpenAI, Anthropic и Google AI. Пользователи сообщали о списаниях на сотни долларов с отдельных аккаунтов, некоторые — о суммах свыше $1000. Anthropic и Google заблокировали ключи, которые сочли скомпрометированными. OpenAI заявила, что сотрудничала с OpenCode по восстановлению доступа и возврату средств своим API-клиентам. OpenCode сообщила, что возвраты за несанкционированные списания идут. По словам сооснователя Дакса Раада, затронуты были только ключи в Console; само open-source-приложение и консольная утилита не пострадали, так как ключи «никогда не доходят до нас».

Спор о характере атаки

OpenCode не уточнила, как именно прошла distillation-атака. Утечка API-ключей может помогать пользователям из стран с ограниченным доступом к американским моделям генерировать большие объёмы выходных данных, необходимые для этого процесса. Некоторые скептики назвали такую формулировку натяжкой, полагая, что это была обычная утечка, а использование данных для distillation остаётся недоказанным.

Защитные фильтры мешали расследованию

Раад сообщил, что атакующие непрерывно пытались взломать системы компании в течение 48 часов, и команде пришлось круглосуточно держать включёнными AI-агенты защиты. AI-модели, к которым обращалась команда для анализа, помогали лишь некоторое время, но начали отказываться работать, когда исследуемый вредоносный код активировал их защитные фильтры. «Это было немного раздражать», — написал Раад в X. Позже OpenCode получила доступ к программе OpenAI Daybreak Blue, дающей проверенным пользователям модели, реже отказывающие в запросах для защитной работы; по словам Раада, это улучшило возможности расследования.

Прецеденты и реакция официальных лиц

OpenCode — не первая компания, столкнувшаяся с такой проблемой. В июле Hugging Face сообщала, что коммерческие AI-модели блокировали её попытки проанализировать логи вторжения автономных AI-агентов, которые, как позже раскрыла OpenAI, были её собственными моделями с пониженными защитами в рамках теста. Hugging Face писала в разделе «Проблема асимметрии», что ограничители «не могут отличить специалиста по реагированию на инциденты от атакующего». Исследователи безопасности высказывали схожие жалобы о непоследовательности ограничений, из-за которых часть из них обращается к зарубежным open-weight моделям. На инцидент отреагировал Дэвид Сакс, сопредседатель Совета президента по консультантам по науке и технологиям: «OpenCode (и ранее Hugging Face) столкнулись с той же стеной посреди атаки: frontier-модели отказывались анализировать эксплойты, необходимые для защиты, потому что полезная нагрузка триггерила защитные фильтры. Ограничители сработали против самих себя», — написал он в X.

Контекст и нераскрытые детали

Взлом произошёл в ту же ночь, когда OpenCode сделала GLM-5.3-Flash бесплатной для пользователей. Семейство GLM-5.3 привлекает внимание исследователей open-weight моделей, отмечающих, что его возможности в кибербезопасности приблизились к уровням, ранее ассоциировавшимся с моделями ограниченного доступа вроде Claude Mythos Preview от Anthropic. OpenCode не раскрыла, как атакующие получили доступ к старой системе, как хранились ключи и полный масштаб злоупотреблений. Затронутым пользователям рекомендовано отозвать и заменить ключи напрямую у каждого провайдера. Компания заявила, что инцидент продолжается. Это происходит на фоне серии инцидентов с применением AI: ранее в этом месяце CrowdStrike сообщила, что хакер, предположительно из Китая, вероятно, использовал AI-агент для пентестинга и Claude в атаках на южнокорейские банки, а на прошлой неделе индийское агентство кибербезопасности предупредило о несанкционированном проникновении AI-агентов, включая тестируемые AI-компаниями, в системы индийских организаций.