Asosiy ma’lumotlar

  • Hujumchilar OpenCode Console'ning eski tizimiga kirish imkonini oldi, API-kalitlari saqlangan 1,4% foydalanuvchi shikastlandi
  • Foydalanuvchilar yuzlab dollarlik yechib olishlar, ba'zilari $1000 dan ortiq summalar haqida xabar berdi; Anthropic va Google kalitlarni blokladi, OpenAI OpenCode bilan hamkorlik qilib mablag'larni qaytardi
  • Jamoa murojaat qilgan modellar himoya filtrlari ishga tushgani tufayli zararli kodni tahlil qilishdan bosh tortdi; keyinchalik OpenCode OpenAI Daybreak Blue dasturiga kirish oldi

Nima sodiq bo'ldi

OpenCode — Claude Code va Cursor'ga alternativa sifatida mashhurlikka erishayotgan ochiq kodli AI-dasturlash agenti — shanba kuni hujumchilar bir kechada uning eski tizimlaridan birini buzib kirganini ma'lum qildi. Hodisa OpenCode Console onlayn platformasining 1,4% foydalanuvchisiga tegdi, bu yerda foydalanuvchilarning bir qismi AI-xizmatlarga kirish uchun API-kalitlarini saqlaydi. Kompaniya sodir bo'lganini «keng ko'lamli distillation-hujum» deb atadi va shikastlangan foydalanuvchilarni elektron pochta orqali xabardor qildi, xat olmaganlar zarar ko'rmaganini qo'shib.

Yechib olishlar va AI-provayderlarning reaksiyasi

Dasturchilar Reddit va X'da xarajatlar va ruxsatsiz yechib olishlar haqida ogohlantirishlar e'lon qila boshladi. Ulardan biri uxlashdan oldin OpenAI, Anthropic va Google AI'da bir vaqtda ishga tushgan xarajat ogohlantirishlarini ko'rganini yozdi. Foydalanuvchilar alohida hisoblardan yuzlab dollar yechib olingani, ba'zilari $1000 dan ortiq summalar haqida xabar berdi. Anthropic va Google buzilgan deb hisoblangan kalitlarni blokladi. OpenAI OpenCode bilan API-mijozlariga kirishni tiklash va mablag'larni qaytarish bo'yicha hamkorlik qilganini ma'lum qildi. OpenCode ruxsatsiz yechib olishlar uchun qaytarishlar davom etayotganini xabar qildi. Hammuassis Daks Raadning so'zlariga ko'ra, faqat Console'dagi kalitlar shikastlangan; ochiq kodli ilova va konsol yordamchisi zarar ko'rmagan, chunki kalitlar «hech qachon bizga yetib bormaydi».

Hujum xususiyati bo'yicha bahs

OpenCode distillation-hujum aynan qanday o'tganini aniqlamadi. API-kalitlar oqishi Amerika modellariga cheklangan kirishga ega mamlakatlar foydalanuvchilariga ushbu jarayon uchun zarur bo'lgan katta hajmdagi chiqish ma'lumotlarini yaratishga yordam berishi mumkin. Ba'zi shubhali fikrlovchilar bunday ta'rifni cho'zilgan deb atadi, bu oddiy ma'lumot oqishi bo'lganini, distillation uchun ma'lumotlardan foydalanish esa isbotlanmagan qolayotganini hisoblab.

Himoya filtrlari tergovga xalaqit berdi

Raad hujumchilar kompaniya tizimlarini 48 soat davomida uzluksiz buzishga harakat qilganini va jamoaga AI-himoya agentlarini kechayu kunduz yoniq holda saqlashga to'g'ri kelganini xabar qildi. Jamoa tahlil uchun murojaat qilgan AI-modellar bir muddat yordam berdi, lekin tekshirilayotgan zararli kod ularning himoya filtrlarini ishga tushirganda ishlashdan bosh tortdi. «Bu biroz asabiylashtirdi», — deb yozdi Raad X'da. Keyinchalik OpenCode tekshirilgan foydalanuvchilarga himoya ishlari uchun so'rovlarni kamroq rad etadigan modellarni beradigan OpenAI Daybreak Blue dasturiga kirish oldi; Raadning so'zlariga ko'ra, bu tergov imkoniyatlarini yaxshiladi.

Precedentlar va rasmiy shaxslarning reaksiyasi

OpenCode bunday muammoga duch kelgan birinchi kompaniya emas. Iyulda Hugging Face tijorat AI-modellari uning avtonom AI-agentlarning bosib olinish jurnallarini tahlil qilishga urinishlarini bloklagani haqida xabar berdi, bu agentlar, keyinchalik OpenAI oshkor qilganidek, sinov doirasida himoyasi pasaytirilgan uning o'z modellari edi. Hugging Face «Asimmetriya muammosi» bo'limida cheklovchilar «incidentlarga javob berish mutaxassisini hujumchidan ajrata olmaydi» deb yozgan edi. Kiberxavfsizlik tadqiqotchilari cheklovlarning izchilligi haqida o'xshash shikoyatlar bildirgan, shu sababli ularning bir qismi xorijiy open-weight modellarga murojaat qiladi. Hodisaga Prezidentning fan va texnologiyalar bo'yicha maslahatchilar Kengashi rais-o'rindoshi Devid Saks reaksiya bildirdi: «OpenCode (va avvalroq Hugging Face) hujum o'rtasida xuddi shu devorga duch keldi: frontier-modellar himoya uchun zarur ekspluatlarni tahlil qilishdan bosh tortdi, chunki payload himoya filtrlarini ishga tushirardi. Cheklovchilar o'zlariga qarshi ishladi», — deb yozdi u X'da.

Kontekst va oshkor qilinmagan tafsilotlar

Buzib kirish OpenCode GLM-5.3-Flash'ni foydalanuvchilar uchun bepul qilgan o'sha kechada sodiq bo'ldi. GLM-5.3 oilasi open-weight modellar tadqiqotchilarining e'tiborini jalb etmoqda, ular uning kiberxavfsizlikdagi imkoniyatlari ilgari Anthropic'ning Claude Mythos Preview kabi cheklangan kirishli modellarga xos darajalarga yaqinlashganini qayd etmoqda. OpenCode hujumchilar eski tizimga qanday kirganini, kalitlar qanday saqlanganini va suiiste'molliklarning to'liq miqyosini oshkor qilmadi. Shikastlangan foydalanuvchilarga kalitlarni har bir provayderdan to'g'ridan-to'g'ri bekor qilish va almashtirish tavsiya etildi. Kompaniya hodisa davom etayotganini ma'lum qildi. Bu AI qo'llanilgan bir qator hodisalar fonida sodir bo'lmoqda: shu oyning boshida CrowdStrike Xitoydan bo'lishi ehtimol bo'lgan haker pentesting uchun AI-agent va Janubiy Koreya banklariga hujumlarda Claude'dan foydalangan bo'lishi mumkinligini xabar qildi, o'tgan hafta esa Hindiston kiberxavfsizlik agentligi AI-agentlarning, jumladan AI-kompaniyalar tomonidan sinovdan o'tkazilayotganlarning hindistonlik tashkilotlar tizimlariga ruxsatsiz kirishi haqida ogohlantirdi.