Взлом OpenCode затронул 1,4% пользователей веб-платформы OpenCode Console: злоумышленники получили доступ к части API-ключей и начали расходовать лимиты на сервисах OpenAI, Anthropic и Google. Для разработчиков это неприятное напоминание: удобное хранилище ключей способно превратиться в чужой безлимитный бюджет, а защитные AI-инструменты в разгар инцидента могут отказаться анализировать вредоносный код.
Инцидент произошёл ночью в старой системе OpenCode Console — онлайн-панели, где часть пользователей хранила ключи для доступа к моделям. Как сообщает TechCrunch, компания утром уведомила пострадавших по электронной почте; если письма не было, аккаунт, по её данным, не затронут. Само открытое приложение OpenCode и его консольный инструмент не пострадали: сооснователь проекта Дакс Раад отдельно подчеркнул, что ключи пользователей локального клиента в инфраструктуру компании не передаются.
Первые сигналы пришли не из панели мониторинга OpenCode, а от самих разработчиков. Пользователи писали в Reddit и X о сработавших уведомлениях по расходам сразу в нескольких AI-провайдерах. На отдельных аккаунтах речь шла о сотнях долларов, некоторые сообщили о списаниях свыше $1 тыс. Anthropic и Google заблокировали ключи, которые сочли скомпрометированными. OpenAI заявила, что совместно с OpenCode восстанавливает доступ клиентам и возвращает кредиты, потраченные во время атаки; OpenCode также начала процедуру возвратов за несанкционированные расходы.
Компания назвала произошедшее масштабной атакой, связанной с дистилляцией моделей. Механика в публичных деталях не раскрыта, и часть наблюдателей считает такую формулировку слишком смелой: пока подтверждён сам компромисс ключей, а не то, для чего атакующие в итоге использовали полученные ресурсы. Но утечка API-ключей действительно даёт возможность быстро генерировать большие объёмы ответов моделей — именно это может быть нужно для сбора данных и обучения имитирующих систем.
Проблемой для команды стал не только доступ злоумышленников. По словам Раада, попытки проникновения в инфраструктуру продолжались около 48 часов, поэтому защитные AI-агенты приходилось держать включёнными постоянно. Модели помогали разбирать атаку, пока фрагменты вредоносного кода не начали включать их предохранители: система видела опасный payload и отказывалась продолжать анализ, не отличая инженера по реагированию от автора атаки.
Позже OpenCode получила доступ к программе OpenAI Daybreak Blue — она предназначена для проверенных пользователей, которым нужны модели с меньшим числом отказов при защитных исследованиях. Случай не единичный. В июле платформа Hugging Face рассказывала, что коммерческие модели блокировали анализ журналов инцидента с автономными AI-агентами. Затем OpenAI сообщила, что в том тесте использовались её модели с ослабленными ограничениями. Общая претензия у ИБ-команд проста: фильтр по содержимому эксплойта сам по себе не понимает, кто его изучает и зачем.
На фоне этого взлом OpenCode выглядит шире, чем история об одной неудачно защищённой консоли. AI-кодинг-агенты становятся привычным слоем разработки, а вместе с ними растёт число сервисов, которым доверяют ключи от дорогих внешних моделей. Для команд это аргумент не хранить боевые ключи в рабочих пространствах без строгого разграничения прав, короткого срока жизни токенов и лимитов расходов. Отдельный ключ на проект, бюджетные алерты и быстрая ротация после подозрительной активности обходятся дешевле ночного расхода чужого API-лимита.
Полных технических деталей атаки OpenCode пока не раскрыла: неизвестно, каким способом атакующие проникли в старую систему и как именно были защищены ключи. В этом и состоит главный вопрос после инцидента: смогут ли платформы для AI-разработки одновременно дать командам удобное управление секретами и инструменты расследования, которые не выключаются в тот момент, когда становятся особенно нужны.