OpenCode взломали: под угрозой API-ключи OpenAI, Anthropic и Google

17 октября OpenCode сообщила о взломе своего сервиса OpenCode Console. Пострадали 1,4% пользователей, подключавших внешние ИИ-модели через API. Всем затронутым аккаунтам отправили уведомления по почте.

Злоумышленники могли получить доступ к API-ключам OpenAI, Anthropic и Google. Некоторые уже заметили списания за запросы, которые сами не отправляли. То есть чужой доступ к ключу вполне может превратиться в ваш счёт за токены.

OpenCode связывает инцидент с масштабной атакой методом дистилляции - когда ответы мощных моделей массово собирают, чтобы обучить на них другую модель. Но как именно произошёл взлом и какую роль в этом сыграли украденные ключи, компания пока не раскрыла.

Сейчас OpenCode расследует инцидент совместно с OpenAI, Anthropic и Google.

Если подключали внешние модели через OpenCode Console:

• отзовите старые API-ключи и выпустите новые;
• проверьте историю запросов и расходы у провайдеров;
• убедитесь, что на ключах выставлены лимиты расходов.