Взлом OpenCode Console мог раскрыть API-ключи OpenAI, Anthropic и Google

Компания OpenCode сообщила, что в ночь на 16 октября посторонний получил доступ к устаревшей системе и, возможно, раскрыл ключи сторонних ИИ-провайдеров, которые пользователи хранили в сервисе OpenCode Console.

Console — необязательный облачный сервис OpenCode: рабочее пространство сохраняет в нём собственный ключ OpenAI, Anthropic или Google, и Console использует этот ключ для обращения к провайдеру, чтобы участники команды могли работать с моделями, не видя самого ключа.

Пострадали 1,4% пользователей Console — все, у кого был привязан внешний провайдер. Утром 17 октября OpenCode разослала им письма с темой «Action Required: Potential provider key breach», призывая отозвать ключи у каждого провайдера и заменить их. Те, кто письма не получил, по словам компании, не затронуты.

Под угрозой только ключи из Console

Речь идёт именно о ключах, вставленных в Console. Ключи, добавленные в командной строке или в настольном приложении OpenCode, хранятся локально в базе данных SQLite на машине пользователя. Как написал в ответе на X сооснователь Дакс Раад, инцидент касается «OpenCode Console, а не самого OpenCode», и эти ключи «к нам вообще не попадают».

Ключ провайдера — это предъявительская учётная запись: тот, у кого есть его копия, может выполнять оплачиваемые запросы к счёту владельца, пока провайдер не отзовёт ключ. Удаление ключа из Console его не отзывает, а лимит расходов в Console тоже не спасёт — Console видит только те запросы, что идут через её собственный шлюз.

Что рекомендуют делать

OpenCode и сами провайдеры советуют отозвать ключ в панели управления провайдера и создать новый, обновить все приложения и скрипты, где он использовался, проверить историю расходов на предмет чужих запросов — как минимум с 16 октября, — а также задать лимит трат и выдавать каждому инструменту отдельный ключ.

Часть пользователей утверждает, что уже оплатила чужое потребление. По сообщению Dealroom, Колин Парсонс написал в X, что его ключом OpenAI воспользовались на 281 доллар, а Anthropic — на 168. Престон Зеллер оценил свои потери в 1700 долларов. Notebookcheck приводит жалобы пользователей Reddit: 400 долларов на Anthropic и около 200 евро на Google с последующей блокировкой проекта.

Сама OpenCode формулирует осторожнее: ключи «могли быть раскрыты», и о том, что хоть один из них был скопирован или использован, компания не заявляла.

«Масштабная атака дистилляции»

В сообщении от 17 октября OpenCode назвала инцидент продолжающимся, сообщила о работе с Anthropic, OpenAI и Google и связала его с «масштабной атакой дистилляции». Деталей компания не раскрыла: ни имён, ни устройства взломанной устаревшей системы, ни числа затронутых ключей.

Дистилляцией провайдеры называют кампании по массовому извлечению ответов модели ради обучения конкурирующей. В сентябре Anthropic отмечала, что за такими кампаниями стоят сети фальшивых аккаунтов, создаваемых на краденые карты, учётные данные и собранные API-ключи. 18 октября Раад писал, что атаки на системы OpenCode не прекращались «последние 48 часов», но «побочным эффектом стало то, что всё укрепляется».

Источник: The Hacker News