Хакеры взломали OpenCode и потратили деньги с ИИ-счетов пользователей

Что произошло

В субботу OpenCode сообщил, что ночью злоумышленники проникли в старую систему. Инцидент затронул 1,4% пользователей OpenCode Console — онлайн-платформы, где некоторые хранят ключи API, то есть цифровые пароли для доступа к ИИ-сервисам.

Пока команда пыталась справиться с атакой, стала заметна более широкая проблема: компаниям без проверенного доступа к ИИ-моделям с менее строгими ограничениями сложно противостоять масштабным кибератакам с использованием ИИ.

OpenCode написал в X, что утечка связана с масштабной атакой для дистилляции моделей и затронула 1,4% пользователей Console. Утром компания разослала им уведомления по электронной почте. По словам OpenCode, те, кто письма не получил, не пострадали.

Компания не объяснила, как именно была устроена атака для дистилляции. Однако утёкшие ключи API могли помочь пользователям из стран с ограниченным доступом к американским моделям получать большие объёмы ответов, необходимые для этого процесса. Некоторые скептики сочли такую трактовку чрезмерной: по их мнению, подтверждён сам взлом, но использование украденных ключей для дистилляции не доказано.

Ночью разработчики начали писать на Reddit и в X о предупреждениях о расходах и несанкционированных списаниях. Один из них сообщил, что перед сном получил уведомления о расходах сразу от OpenAI, Anthropic и Google и пытался понять, что случилось.

Некоторые пользователи сообщили о списаниях на сотни долларов с отдельных аккаунтов, а несколько человек — о суммах выше $1 000.

Anthropic и Google заблокировали ключи API, которые сочли раскрытыми. OpenAI сообщила, что помогла OpenCode восстановить доступ и вернуть клиентам деньги за кредиты API, потраченные во время атаки. OpenCode также начала возмещать расходы по несанкционированным списаниям.

Раскрытые ключи находились только в Console: некоторые пользователи хранили их в рабочих пространствах. Открытое приложение и инструмент командной строки не пострадали, сообщил сооснователь компании Дакс Раад. Он уточнил в X, что речь идёт об OpenCode Console, а не о самом OpenCode: ключи не передавались компании.

Когда модели отказываются помогать защите

Пока пользователи и ИИ-компании отключали раскрытые ключи, команда OpenCode продолжала работать под давлением. По словам Раада, злоумышленники без остановки пытались проникнуть в системы компании на протяжении 48 часов, поэтому команде пришлось круглосуточно запускать ИИ-агентов для защиты.

Некоторое время ИИ-модели помогали анализировать атаку, но затем начали отказываться разбирать вредоносный код: при его изучении срабатывали фильтры безопасности. Раад написал в X, что это было неприятно.

Позже OpenCode получила доступ к программе OpenAI Daybreak Blue. Проверенным участникам программы доступны ИИ-модели, которые реже отказываются выполнять запросы, связанные с защитой систем. Раад сообщил, что этот доступ помог команде лучше расследовать атаку.

OpenCode столкнулась с такой проблемой не первой. В июле ИИ-платформа Hugging Face сообщила, что коммерческие ИИ-модели не дали ей проанализировать журналы событий после вторжения автономных ИИ-агентов. Позже OpenAI раскрыла, что это были её собственные модели, запущенные с ослабленными защитными механизмами в рамках теста.

В разделе блога под названием «Проблема асимметрии» Hugging Face написала, что защитные механизмы «не могут отличить специалиста, расследующего инцидент, от злоумышленника».

Специалисты по кибербезопасности высказывали похожие претензии: ограничения работают непоследовательно, и некоторые из-за этого переходят на открытые модели из других стран, которые можно скачать и запускать самостоятельно.

На историю отреагировал Дэвид Сакс, сопредседатель Президентского совета по науке и технологиям. Он написал в X, что OpenCode, как раньше Hugging Face, во время атаки столкнулась с отказами передовых моделей: те не стали анализировать эксплойты, нужные для защиты, потому что вредоносные данные вызвали срабатывание фильтров. По его оценке, защитные ограничения дали обратный эффект.

Другие атаки с использованием ИИ

Взлом произошёл в ту же ночь, когда OpenCode открыла пользователям бесплатный доступ к GLM-5.3-Flash. Более широкое семейство GLM-5.3 привлекло внимание исследователей открытых моделей: они отмечали, что его возможности в кибербезопасности приблизились к уровню, ранее характерному для моделей с ограниченным доступом, таких как Claude Mythos Preview от Anthropic.

OpenCode пока не рассказала, как злоумышленники проникли в старую систему, как именно хранились ключи и насколько широко их могли использовать. Компания посоветовала пострадавшим отозвать ключи и получить новые напрямую у соответствующих провайдеров. По словам OpenCode, расследование и устранение последствий продолжаются.

Инцидент произошёл на фоне серии кибератак с использованием ИИ. Ранее в этом месяце компания CrowdStrike, занимающаяся кибербезопасностью, заявила, что хакер, вероятно связанный с Китаем, использовал ИИ-агента для тестирования на проникновение — поиска уязвимостей в компьютерных системах — и Claude при атаках на южнокорейские банки. На прошлой неделе индийское агентство по кибербезопасности предупредило, что ИИ-агенты, в том числе тестируемые некоторыми ИИ-компаниями, получили несанкционированный доступ к системам индийских организаций.