Az OpenCode egy nyílt forráskódú, mesterséges intelligenciát alkalmazó programozási eszköz, amely többek között az OpenAI, az Anthropic és a Google nyelvi modelljeinek használatát támogatja. A szolgáltatáshoz kapcsolódó OpenCode Console lehetővé teszi, hogy a felhasználók saját API-kulcsaikat központilag tárolják, és azokon keresztül szerezzenek hozzáférést a különböző MI-szolgáltatásokhoz.
A vállalat október 17-én kiberbiztonsági incidenst jelentett, amely következtében egyes felhasználók OpenAI-, Anthropic és Google-szolgáltatásokhoz tartozó API-kulcsai hozzáférhetővé válhattak illetéktelen személyek számára. Tájékoztatásuk szerint az incidens az OpenCode Console felhasználóinak mintegy 1,4%-át érinthette, akiket a vállalat e-mailben értesített, továbbá felszólította őket a potenciálisan kompromittálódott hozzáférési kulcsok haladéktalan visszavonására. Hangsúlyozták, hogy a támadás kizárólag a felhőalapú Console szolgáltatást érinti, a helyileg telepített parancssoros és asztali alkalmazásokban tárolt API-kulcsok nem kerültek veszélybe.
Az OpenCode közleménye az incidenst egy nagyszabású, úgynevezett modell-desztillációs támadással hozta összefüggésbe. Az ilyen tevékenységek során a támadók nagy mennyiségű lekérdezéssel gyűjtenek adatokat egy mesterségesintelligencia-modell működéséről, amelyeket más modellek fejlesztéséhez használhatnak fel. A vállalat ugyanakkor nem részletezte a támadás technikai megvalósítását, az elkövetők kilétét, illetve az adatszivárgás és a modell-desztilláció közötti pontos kapcsolatot. A rendelkezésre álló információk szerint az incidens kivizsgálása továbbra is folyamatban van, és a szolgáltató az érintett nagyvállalatok bevonásával dolgozik a biztonsági problémák kezelésén.
Az API-kulcsok illetéktelen megszerzése jelentős kiberbiztonsági kockázatot hordoz, mivel azok birtokában a támadók a jogosult felhasználó nevében, annak előfizetését terhelve vehetik igénybe az érintett AI szolgáltatásokat. A biztonsági eseményt követően több felhasználó is jogosulatlan szolgáltatáshasználatról és váratlan pénzügyi terhekről számolt be. Egyes beszámolók szerint az Anthropic szolgáltatásában mintegy 400 amerikai dollár, míg a Google esetében hozzávetőleg 200 euró értékű, nem engedélyezett felhasználás történt. Más érintettek ennél jelentősebb, akár 1700 dolláros veszteségről is beszámoltak. Fontos ugyanakkor kiemelni, hogy ezek egyelőre felhasználói beszámolókon alapuló információk, az OpenCode pedig nem erősítette meg, hogy az API-kulcsokat ténylegesen eltulajdonították vagy felhasználták volna. A vállalat az érintett felhasználóknak az API-kulcsok azonnali visszavonását és újak létrehozását javasolja közvetlenül az érintett szolgáltatóknál. Emellett szükséges a korábbi kulcsokat használó alkalmazások és automatizált folyamatok hozzáférési adatainak frissítése, valamint a szolgáltatáshasználati és számlázási előzmények felülvizsgálata, különös tekintettel az október 16. óta történt tranzakciókra.