OpenCode взломали: пользователи получили счета за чужие запросы к ИИ

Когда работаешь с нейросетью через API, обычно платишь не за сам факт подключения, а за использованные ресурсы. У каждого запроса есть стоимость, а доступ к счету обеспечивает специальный ключ. Если такой ключ попадет к постороннему, платить за его запросы может владелец аккаунта. Именно с такой ситуацией столкнулась часть пользователей OpenCode.

17 октября команда проекта сообщила о нарушении безопасности OpenCode Console. По словам разработчиков, злоумышленники проникли в старую часть серверной инфраструктуры. Компания связывает атаку с попыткой массового извлечения результатов работы ИИ-моделей, однако пока не раскрыла технических доказательств этого сценария.

Масштаб происшествия разработчики оценили в 1,4% пользователей облачной платформы. Пострадавшим отправили уведомления по электронной почте. В официальном сообщении OpenCode говорится, что пользователи, не получившие письмо, не входят в установленную компанией группу пострадавших.

Однако ограничиться сообщением об утечке не получилось. Разработчики начали получать жалобы на списания за запросы, которые владельцы аккаунтов не выполняли. У некоторых пользователей почти одновременно сработали уведомления о расходах в сервисах OpenAI, Anthropic и Google. В публичных обсуждениях встречаются сообщения о потерях в сотни долларов, а отдельные пользователи утверждают, что расходы превысили тысячу долларов. Это сообщения самих пострадавших, а не подтвержденная общая сумма ущерба.

Здесь есть принципиальное различие между OpenCode и OpenCode Console. Сам OpenCode — инструмент с открытым исходным кодом, который можно запускать локально и подключать к различным ИИ-провайдерам. Console — отдельная облачная платформа, где часть пользователей хранит ключи внешних сервисов.

Сооснователь проекта Дакс Раад уточнил, что инцидент затронул именно Console. Данных о компрометации локального приложения или его исходного кода нет. Поэтому утверждать, что взломали все установки OpenCode, неправильно.

После обнаружения атаки Anthropic и Google заблокировали ключи, которые считали скомпрометированными. OpenAI сообщила о совместной работе с OpenCode над восстановлением доступа и возвратом средств за запросы, выполненные злоумышленниками. Команда OpenCode также заявила о процессе компенсации несанкционированных расходов.

Для пострадавших это означает, что проблема не обязательно заканчивается отзывом ключа. Даже после блокировки доступа необходимо проверить историю использования API и выставленные счета. Возврат средств может потребовать отдельного обращения к провайдеру, особенно если расходы уже попали в платежный период.

Еще одна неприятность обнаружилась во время устранения последствий взлома. Разработчики использовали ИИ-агентов для анализа атаки, но некоторые модели начали отказываться исследовать вредоносный код. Защитные ограничения распознавали опасное содержимое запросов, не всегда отличая работу специалиста по безопасности от попытки создать или применить эксплойт.

По словам Раада, позднее команда получила доступ к специальной программе OpenAI Daybreak Blue, в которой проверенным пользователям предоставляются модели с меньшим количеством ограничений для защитных задач. Это помогло продолжить расследование. Однако сам случай показал, что автоматическая помощь ИИ при кибератаке не гарантирует непрерывной работы: инструмент может отказаться выполнять именно тот анализ, который необходим для защиты.

Остается немало неизвестного. Разработчики не опубликовали подробную схему проникновения в устаревшую систему, не объяснили, как именно хранились скомпрометированные ключи, и не назвали окончательный размер ущерба. Поэтому оценивать надежность исправлений пока рано.

Владельцам аккаунтов OpenCode Console, которые подключали внешние API-ключи, стоит проверить почту, настройки доступа и историю расходов у своих провайдеров. При подозрительных операциях старый ключ необходимо отозвать и создать новый непосредственно в кабинете соответствующего сервиса. Простая смена пароля OpenCode не гарантирует, что ранее выданный API-ключ перестанет работать.

Этот случай касается не только пользователей OpenCode. Любой сервис, которому передают ключи сторонних нейросетей, становится дополнительной точкой риска. Если для работы не требуется облачное хранение ключей, разумнее ограничить круг систем, имеющих к ним доступ, а у провайдеров заранее настроить уведомления о расходах и доступные лимиты.