Kimliği belirsiz saldırganlar, OpenCode hizmetinin kullanıcılarına ait API anahtarlarına erişim sağlayarak üçüncü taraf platformlarda planlanmamış harcamalara yol açtı, infohub.kz sitesinin haberine göre.
Saldırı, yapay zeka yardımıyla geliştirme süreçlerini yönetmeye yönelik OpenCode Console hizmetinin eski sistemini hedef aldı. Olay sonucunda platform kullanıcılarının yaklaşık %1,4'ü etkilendi. Saldırganlar, OpenAI, Anthropic ve Google şirketlerinin yapay zeka hizmetleriyle bağlantı kurmak için kullanılan kayıtlı API anahtarlarını çaldı.
Geliştiricilerin karşısına beklenmedik faturalar çıktı: X ve Reddit sosyal ağlarında kullanıcılar, yüzlerce dolardan 1000 doların üzerine kadar değişen izinsiz para çekimlerini kitlesel olarak bildirmeye başladı.
OpenCode'un kurucu ortaklarından Dax Raad'a göre şirket, yaşananları yapay zeka modellerinin büyük ölçekli damıtılmasına yönelik bir saldırıyla ilişkilendirdi. Soruşturma sırasında ekip alışılmadık bir engelle karşılaştı: yapay zeka sistemlerinin koruma algoritmaları, mühendislerin taleplerini tehlikeli olarak değerlendirerek zararlı kodu analiz etmeyi reddetti. Sorun ancak OpenAI'nin güvenlik filtreleri zayıflatılmış Daybreak Blue programına özel erişim sağlanmasının ardından çözülebildi.
Şu anda mağdur geliştiricilerin ele geçirilmiş erişim anahtarları iptal ediliyor ve çekilen tutarlar için iade işlemleri yapılıyor. OpenCode'un yerel istemcisi ise saldırı sırasında zarar görmedi.