Bilgisayar korsanları OpenCode Console'a girdi, bazı kullanıcıların API anahtarlarını ele geçirdi

OpenCode, saldırganların gece boyunca eski bir sisteme girerek OpenCode Console'da saklanan bazı kullanıcı API anahtarlarını ele geçirdiğini söyledi. Şirket, Console kullanıcılarının %1,4'ünün etkilendiğini ve bu kullanıcılara e-posta gönderdiğini bildirdi. E-posta almayan kullanıcıların etkilenmediğini belirtti.

Geliştiriciler Reddit ve X'te harcama uyarıları ve yetkisiz ücretler bildirdi. Bazıları bireysel hesaplarında yüzlerce dolarlık ücretler gördüğünü, birkaç kişi ise toplam ücretin $1.000 tutarını aştığını söyledi. Anthropic ve Google, açığa çıktığını düşündükleri anahtarları engelledi. OpenAI, erişimi yeniden sağlamak ve saldırıda kullanılan krediler için API müşterilerine geri ödeme yapmak üzere OpenCode ile çalıştığını söyledi. OpenCode, yetkisiz ücretler için geri ödemelerin sürdüğünü bildirdi.

Kurucu ortak Dax Raad, açığa çıkan anahtarların yalnızca Console ile sınırlı olduğunu; açık kaynaklı uygulama ile komut satırı aracının etkilenmediğini söyledi. OpenCode, saldırganların eski sisteme nasıl eriştiğini, anahtarların nasıl saklandığını veya kötüye kullanımın tam boyutunu açıklamadı. Şirket olayın sürdüğünü söyledi ve etkilenen kullanıcılara anahtarlarını her sağlayıcı üzerinden iptal edip yenilemelerini bildirdi.

Raad, saldırganların 48 saat boyunca aralıksız OpenCode sistemlerine girmeye çalıştığını söyledi. Olayı incelemek için kullanılan yapay zekâ modellerinin başlangıçta yardımcı olduğunu, ancak güvenlik filtreleri devreye girince kötü amaçlı kodu incelemeyi reddettiğini belirtti. OpenCode daha sonra, savunma amaçlı güvenlik taleplerini reddetme olasılığı daha düşük modelleri denetlenmiş kullanıcılara sunan OpenAI Daybreak Blue programına erişim aldı. Raad, bu erişimin ekibin soruşturmasını iyileştirdiğini söyledi.