Włamanie do OpenCode. Skradzione klucze API wygenerowały wysokie rachunki

OpenCode poinformowało o włamaniu do starszego systemu platformy OpenCode Console. Incydent objął 1,4% użytkowników, a przejęte klucze API mogły posłużyć do generowania wysokich rachunków za usługi AI. Atak ujawnił też problem, z którym mierzą się zespoły reagujące na cyberincydenty: zabezpieczenia komercyjnych modeli potrafią blokować analizę złośliwego kodu potrzebną do obrony.

OpenCode przekazało w serwisie X, że do włamania doszło w nocy z piątku na sobotę. Firma wysłała e-maile do wszystkich poszkodowanych. Osoby, które nie dostały takiej wiadomości, nie zostały objęte incydentem. Problem dotyczył wyłącznie OpenCode Console. Część użytkowników przechowywała tam klucze API umożliwiające korzystanie z usług OpenAI, Anthropic i Google. Sama aplikacja OpenCode o otwartym kodzie źródłowym oraz jej wersja wiersza poleceń (CLI) nie zostały naruszone.

Skutki odczuli przede wszystkim programiści, którzy zaczęli zgłaszać nieautoryzowane wydatki na usługi AI. Niektórzy informowali o rachunkach sięgających setek dolarów, a w pojedynczych przypadkach przekraczających 1000 dolarów. Anthropic i Google zablokowały klucze, które mogły zostać przejęte. OpenAI podjęło współpracę z OpenCode w sprawie przywrócenia dostępu i zwrotu pieniędzy za nieautoryzowane użycie usług. Według OpenCode, procedura zwrotów już się rozpoczęła.

Firma nie ujawniła, jak napastnicy uzyskali dostęp do starszego systemu, w jaki sposób przechowywano klucze ani jak duża była skala ich wykorzystania. Zaleciła użytkownikom unieważnienie dotychczasowych kluczy i wygenerowanie nowych bezpośrednio u poszczególnych dostawców AI.

OpenCode mówi o ataku na dużą skalę

Firma powiązała incydent z tzw. atakiem destylacyjnym. W takim procesie odpowiedzi zaawansowanego modelu służą do trenowania mniejszego systemu, który ma odtworzyć część jego możliwości. Dostęp do skradzionych kluczy API mógłby umożliwić generowanie dużych ilości danych wyjściowych. OpenCode nie przedstawiło jednak szczegółów potwierdzających taki scenariusz. Część komentujących podważała tę interpretację, wskazując, że na razie wiadomo przede wszystkim o włamaniu i nadużyciu kluczy API. Jak wskazuje TechCrunch, niee ma wystarczających informacji, by jednoznacznie ustalić cel napastników.

Dax Raad, współzałożyciel OpenCode, poinformował, że ataki na systemy firmy trwały przez 48 godzin. Zespół próbował analizować złośliwy kod przy pomocy modeli AI, ale napotkał kolejny problem: zabezpieczenia części narzędzi blokowały analizę materiału, który mógł być potrzebny do zrozumienia ataku. Sytuacja zmieniła się po uzyskaniu dostępu do programu Daybreak Blue firmy OpenAI. Zapewnia on zweryfikowanym użytkownikom dostęp do modeli, które rzadziej odmawiają wykonywania zadań związanych z cyberbezpieczeństwem. Według Dax Raada, pomogło to zespołowi w analizie incydentu.

Zabezpieczenia AI utrudniają reakcję na ataki

Podobny problem zgłosiła wcześniej platforma Hugging Face. W lipcu poinformowała, że komercyjne modele AI odmówiły analizy logów po włamaniu z udziałem autonomicznych agentów. OpenAI ujawniło później, że chodziło o jego modele, których zabezpieczenia zostały obniżone na potrzeby testów.

Hugging Face zwróciło wówczas uwagę na asymetrię między atakującymi a zespołami obrony. Mechanizmy ochronne modeli mogą potraktować analizę exploita lub złośliwego kodu jako próbę przeprowadzenia ataku, nawet gdy wykonuje ją specjalista badający incydent. W efekcie narzędzie, które ma wspierać obronę, może utrudnić reakcję na włamanie.

Do sprawy odniósł się David Sacks, współprzewodniczący Prezydenckiej Rady Doradców ds. Nauki i Technologii w USA. W jego ocenie przypadki OpenCode i Hugging Face pokazują, że filtry bezpieczeństwa mogą przynieść odwrotny do zamierzonego skutek, jeśli blokują analizę niezbędną do obrony systemów.

Niespójność ograniczeń skłania część specjalistów do korzystania z modeli o otwartych wagach. Można je pobrać i uruchomić we własnej infrastrukturze, co daje większą kontrolę nad ich działaniem, ale jednocześnie przenosi na użytkownika odpowiedzialność za konfigurację i zabezpieczenie środowiska.