Поскольку команда OpenCode изо всех сил пыталась справиться с атакой, необходимость реагирования выявила растущую проблему: компаниям без проверенного доступа к моделям ИИ с меньшим количеством ограничений безопасности трудно защититься от масштабных кибератак, управляемых ИИ.
«Прошлой ночью у нас произошла утечка безопасности, связанная с масштабной атакой дистилляции, которая затронула 1,4% пользователей OpenCode Console», — написала компания в X. «Сегодня утром мы уведомили их всех по электронной почте». Пользователи, не получившие электронное письмо, не пострадали, сообщила компания.
Хотя компания не уточнила, как произошла атака дистилляции, утечка ключей API может помочь пользователям из стран с ограниченным доступом к американским моделям генерировать большой объем выходных данных, необходимых для этого процесса. Некоторые скептики назвали такое объяснение преувеличением, утверждая, что инцидент был обычным взломом, а его использование для дистилляции остается недоказанным.
В течение ночи разработчики начали публиковать уведомления о расходах и несанкционированных списаниях в Reddit и X. «Я увидел, как сработали все мои оповещения о расходах Open AI, Anthropic и Google AI, прежде чем лечь спать, и задавался вопросом, что происходит», — написал один из разработчиков.
Другие пользователи сообщили о списаниях на сотни долларов с отдельных счетов; некоторые описали суммы свыше 1000 долларов.
Anthropic и Google заблокировали ключи API, которые, по их мнению, были скомпрометированы, в то время как OpenAI заявила, что сотрудничала с OpenCode для восстановления доступа и возврата средств своим клиентам API за кредиты, использованные при атаке. OpenCode сообщила, что возврат средств за несанкционированные списания находится в процессе.
Скомпрометированные ключи были ограничены Console, где некоторые пользователи хранили их в рабочих пространствах. По словам соучредителя Дакса Раада, приложение с открытым исходным кодом и инструмент командной строки не пострадали. «Обратите внимание, что это OpenCode Console, а не сам OpenCode, эти ключи никогда не попадают к нам», — написал он в X.
Даже когда пользователи и компании, занимающиеся ИИ, начали отключать скомпрометированные ключи, команда OpenCode продолжала испытывать давление. Раад сообщил, что злоумышленники пытались взломать их системы непрерывно в течение 48 часов, что требовало от команды круглосуточной работы защитных агентов ИИ. Модели ИИ, к которым обратилась команда OpenCode для анализа, некоторое время помогали, но начали отказываться работать, когда вредоносный код, который им поручили изучить, активировал фильтры безопасности.
«Это было немного расстраивающе», — написал он в X.
Позже OpenCode получила доступ к программе OpenAI Daybreak Blue, которая предоставляет проверенным пользователям модели ИИ, менее склонные отказываться от запросов на защитную работу в сфере безопасности. Раад сказал, что доступ улучшил способность команды расследовать атаку.
OpenCode — не первая компания, столкнувшаяся с этой проблемой. В июле платформа ИИ Hugging Face сообщила, что коммерческие модели ИИ блокировали ее попытки анализировать журналы активности после вторжения автономных агентов ИИ, которые, как позже выяснила OpenAI, были ее собственными моделями, работающими с пониженными мерами безопасности во время тестирования. В разделе своего блога под названием «Проблема асимметрии» Hugging Face написала, что системы защиты «не могут отличить специалиста по реагированию на инциденты от злоумышленника».
Исследователи безопасности высказывали аналогичные жалобы, заявляя, что ограничения непоследовательны и подтолкнули некоторых к использованию иностранных моделей с открытым весом, которые любой может скачать и запустить.
Инцидент выходного дня вызвал реакцию Дэвида Сакса, сопредседателя Президентского консультативного совета по науке и технологиям.
«OpenCode (а ранее Hugging Face) столкнулись с той же проблемой во время атаки: передовые модели отказались анализировать именно те эксплойты, которые были необходимы для защиты, потому что полезные нагрузки срабатывали на фильтрах безопасности. Системы защиты дали обратный эффект», — написал он в X.
Взлом произошел в ту же ночь, когда OpenCode сделала GLM-5.3-Flash бесплатной для пользователей. Более широкое семейство GLM-5.3 привлекло внимание исследователей, изучающих модели с открытым весом, которые отмечают, что ее возможности в области кибербезопасности приблизились к уровням, ранее ассоциировавшимся с моделями с ограниченным доступом, такими как Claude Mythos Preview от Anthropic.
OpenCode не предоставила подробностей о том, как злоумышленники получили доступ к старой системе, как хранились ключи или каков полный масштаб любого злоупотребления. Компания посоветовала пострадавшим пользователям отозвать и заменить свои ключи непосредственно у каждого поставщика. Компания заявила, что инцидент продолжается.
Взлом произошел на фоне серии киберинцидентов с использованием ИИ. Ранее в этом месяце фирма по кибербезопасности CrowdStrike сообщила, что хакер из Китая, вероятно, использовал агент для тестирования на проникновение на базе ИИ, который проверяет компьютерные системы на уязвимости, и Claude в атаках на южнокорейские банки. На прошлой неделе индийское агентство по кибербезопасности предупредило, что агенты ИИ, в том числе те, которые тестируются компаниями, занимающимися ИИ, получили доступ к системам индийских организаций без разрешения.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Aditya Mehta
