Хакеры атаковали инструмент для разработки ИИ OpenCode, списав средства с учетных записей пользователей, использующих ИИ.

Пока команда OpenCode изо всех сил пыталась справиться с атакой, спешка в реагировании выявила растущую проблему: компаниям, не имеющим проверенного доступа к моделям ИИ с меньшими ограничениями безопасности, трудно защититься от крупномасштабных кибератак, основанных на ИИ.

«Вчера вечером у нас произошла утечка данных, связанная с масштабной атакой методом дистилляции, которая затронула 1,4% пользователей OpenCode Console», — написала компания на X. «Сегодня утром мы уведомили всех пользователей по электронной почте». Пользователи, не получившие электронное письмо, не пострадали, сообщила компания.

Хотя компания не уточнила, как именно произошла атака на процесс дистилляции, утечка ключей API может помочь пользователям в странах с ограниченным доступом к американским моделям генерировать большой объем продукции, необходимый для этого процесса. Некоторые скептики назвали такую ​​трактовку преувеличенной, утверждая, что инцидент представлял собой прямое нарушение, использование которого для дистилляции остается недоказанным.

За ночь разработчики начали публиковать на Reddit и X сообщения о расходах и несанкционированных списаниях: «Перед сном я увидел, как сработали оповещения о расходах от Open AI, Anthropic и Google AI, и задался вопросом, что происходит», — написал один из разработчиков . 

Другие пользователи сообщали о списаниях со счетов на сотни долларов; некоторые указывали суммы, превышающие 1000 долларов.

Компании Anthropic и Google заблокировали ключи API, которые, по их мнению, были скомпрометированы, в то время как OpenAI заявила, что сотрудничает с OpenCode для восстановления доступа и возврата средств клиентам API за кредиты, использованные при атаке. OpenCode сообщила, что возврат средств за несанкционированные списания уже осуществляется.

Раскрытые ключи были обнаружены только в консоли OpenCode, где некоторые пользователи хранили их в рабочих пространствах. По словам соучредителя Дакса Раада, открытое приложение и инструмент командной строки не пострадали. «Обратите внимание, что это консоль OpenCode, а не сам OpenCode, эти ключи к нам никогда не попадают», — написал он на X.

Даже когда пользователи и компании, занимающиеся ИИ, начали отключать уязвимые ключи, команда OpenCode всё ещё находилась под давлением. Раад сказал, что злоумышленники непрерывно пытались взломать их системы в течение 48 часов, что вынуждало команду круглосуточно поддерживать работу защитных агентов ИИ. Модели ИИ, к которым команда OpenCode обращалась для анализа, некоторое время помогали, но перестали работать, когда вредоносный код, который им было поручено изучить, активировал фильтры безопасности. 

«Это было немного неприятно», — написал он на X.

Позже OpenCode получил доступ к программе Daybreak Blue от OpenAI, которая предоставляет проверенным пользователям модели ИИ, менее склонные отказывать в запросах на работу по обеспечению безопасности. Раад сказал, что этот доступ улучшил возможности команды по расследованию атаки.

OpenCode — не первая компания, столкнувшаяся с этой проблемой. В июле платформа искусственного интеллекта Hugging Face заявила, что коммерческие модели ИИ заблокировали ее попытки анализа журналов активности после вторжения автономных агентов ИИ, которые, как позже выяснила OpenAI , были ее собственными моделями, работающими с ослабленными мерами безопасности во время тестирования. В разделе своего блога под названием «Проблема асимметрии» Hugging Face написала, что механизмы защиты «не могут отличить специалиста по реагированию на инциденты от злоумышленника». 

Исследователи в области безопасности высказывали аналогичные претензии , заявляя, что ограничения непоследовательны и подтолкнули некоторых к использованию зарубежных моделей с открытым исходным кодом, которые может скачать и запустить любой желающий.

Вышедший в выходные эпизод вызвал отклик у Дэвида Сакса, сопредседателя Президентского совета советников по науке и технологиям.

«OpenCode (и ранее Hugging Face) столкнулись с той же проблемой в середине атаки: модели на переднем крае отказались анализировать именно те уязвимости, которые необходимы для защиты, потому что полезные нагрузки активировали фильтры безопасности. Защитные механизмы дали обратный эффект», — написал он на X.

Взлом произошел в ту же ночь, когда OpenCode сделал GLM-5.3-Flash бесплатным для пользователей. Более широкое семейство GLM-5.3 привлекло внимание исследователей, изучающих модели с открытыми весами, и они отмечают, что его возможности в области кибербезопасности приблизились к уровням, ранее ассоциировавшимся с моделями с ограниченным доступом, такими как Claude Mythos Preview от Anthropic. 

Компания OpenCode не предоставила подробной информации о том, как злоумышленники получили доступ к старой системе, как хранились ключи и о полном масштабе неправомерного использования. Она рекомендовала пострадавшим пользователям отозвать и заменить свои ключи непосредственно у каждого поставщика. Компания заявила, что инцидент всё ещё продолжается .

Взлом произошел на фоне серии кибер-инцидентов с использованием ИИ. Ранее в этом месяце компания по кибербезопасности CrowdStrike заявила, что хакер из Китая, вероятно, использовал агента для тестирования на проникновение с использованием ИИ, который проверяет компьютерные системы на наличие уязвимостей, а также Claude в атаках на южнокорейские банки . На прошлой неделе индийское агентство по кибербезопасности предупредило , что агенты ИИ, в том числе некоторые, тестируемые компаниями, занимающимися ИИ, проникли в системы индийских организаций без разрешения.