OpenCode נפרצה: מפתחות API של משתמשים נגנבו, ויש משתמשים שחויבו במאות דולרים
תוקפים פרצו למערכת ישנה של OpenCode Console, הפלטפורמה המקוונת של סוכן הקוד הפופולרי. הפריצה פגעה ב-1.4% ממשתמשי הפלטפורמה, ומפתחות ה-API שנגנבו נוצלו לצבירת חיובים על חשבונות AI של המשתמשים. בזמן התגובה לתקיפה נתקל הצוות בבעיה נוספת: מודלי AI מסחריים סירבו לנתח את הקוד הזדוני.
OpenCode, סוכן קוד בקוד פתוח שצובר פופולריות בקרב מפתחים כחלופה ל-Claude Code ול-Cursor, הודיעה בשבת שתוקפים פרצו במהלך הלילה למערכת ישנה שלה. לפי החברה, הפריצה פגעה ב-1.4% ממשתמשי OpenCode Console, הפלטפורמה המקוונת שבה חלק מהמשתמשים שומרים את מפתחות ה-API שלהם. אלה מעין סיסמאות דיגיטליות שמשמשות לגישה לשירותי AI ושכל שימוש בהן מחויב בכסף. כך דיווח TechCrunch.
"אמש אירעה פרצת אבטחה הקשורה למתקפת distillation רחבת היקף, שפגעה ב-1.4% ממשתמשי OpenCode Console", כתבה החברה ב-X. "הבוקר עדכנו את כולם במייל". לדברי החברה, מי שלא קיבל מייל לא נפגע.
חיובים של מאות דולרים
במהלך הלילה התחילו מפתחים לפרסם התראות על חריגה בהוצאות ועל חיובים שלא אישרו. "ראיתי את התראות ההוצאה של OpenAI, אנתרופיק וגוגל קופצות כולן לפני שהלכתי לישון, ותהיתי מה קורה", כתב אחד המפתחים. משתמשים אחרים דיווחו על חיובים של מאות דולרים בחשבון בודד, וכמה מהם על סכומים כוללים של יותר מ-1,000 דולר.
ספקיות ה-AI הגיבו מהר. אנתרופיק וגוגל חסמו את המפתחות שלהערכתן נחשפו, ו-OpenAI מסרה שעבדה עם OpenCode כדי להחזיר את הגישה ולהחזיר ללקוחות ה-API שלה את הקרדיטים שנוצלו במתקפה. OpenCode מסרה שההחזרים על חיובים לא מורשים כבר בתהליך.
המפתחות שנחשפו היו רק אלה שנשמרו ב-Console, בתוך סביבות עבודה (workspaces). לדברי המייסד השותף Dax Raad, האפליקציה בקוד פתוח וכלי שורת הפקודה לא נפגעו. "שימו לב: מדובר ב-OpenCode Console, לא ב-OpenCode עצמו. המפתחות האלה אף פעם לא מגיעים אלינו", כתב.
מה זה distillation, ולמה יש ספקנים
ב-distillation ("זיקוק") מאמנים מודל חדש על כמות גדולה של תשובות שמפיק מודל חזק יותר. החברה לא פירטה איך בדיוק התבצעה מתקפת ה-distillation. עם זאת, מפתחות שדלפו יכולים לעזור למשתמשים במדינות שבהן הגישה למודלים אמריקאיים מוגבלת להפיק את הכמות הגדולה של פלטים שהתהליך דורש. יש מי שרואה בהסבר הזה מתיחה של המציאות: לטענתם מדובר בפריצה רגילה, ולא הוכח שהמפתחות שימשו בפועל ל-distillation.
כשהמודל מסרב לעזור למגינים
הפרק המעניין יותר בסיפור התרחש בזמן התגובה לתקיפה. לדברי Raad, התוקפים ניסו לחדור למערכות החברה ברציפות במשך 48 שעות, והצוות נאלץ להפעיל סוכני AI הגנתיים מסביב לשעון. מודלי ה-AI שאליהם פנה הצוות לצורך ניתוח עזרו לזמן מה, אבל הפסיקו לשתף פעולה כשהקוד הזדוני שהתבקשו לבחון הפעיל את מסנני הבטיחות שלהם. "זה היה קצת מתסכל", כתב Raad. בהמשך קיבלה OpenCode גישה לתוכנית Daybreak Blue של OpenAI, שמספקת למשתמשים שעברו בדיקה מודלים שנוטים פחות לסרב לבקשות של עבודת אבטחה הגנתית. לדבריו, הגישה שיפרה את יכולתו של הצוות לחקור את המתקפה.
OpenCode לא הראשונה שנתקלת בקיר הזה. ביולי דיווחה Hugging Face שמודלים מסחריים חסמו את ניסיונותיה לנתח יומני פעילות מחדירה שביצעו סוכני AI אוטונומיים. בהמשך חשפה OpenAI שאלה היו המודלים שלה, שרצו במסגרת ניסוי עם אמצעי הגנה מופחתים. Hugging Face כתבה אז שמנגנוני ההגנה "אינם מסוגלים להבחין בין מי שמגיב לאירוע לבין תוקף". דייוויד סאקס, יו"ר משותף של המועצה המייעצת לנשיא למדע וטכנולוגיה, הגיב ב-X: "מנגנוני ההגנה פעלו נגד מטרתם".
הפריצה התרחשה באותו לילה שבו OpenCode הפכה את GLM-5.3-Flash לחינמי למשתמשיה. לפי חוקרים, היכולות של משפחת GLM-5.3 בתחום אבטחת הסייבר קרובות לרמה שיוחסה בעבר למודלים בגישה מוגבלת כמו Claude Mythos Preview של אנתרופיק.
מה עוד לא ידוע
OpenCode לא פירטה איך התוקפים השיגו גישה למערכת הישנה, איך נשמרו המפתחות ומה היקף השימוש לרעה. היא הנחתה את המשתמשים שנפגעו לבטל את המפתחות ולהנפיק חדשים ישירות אצל כל ספק, והודיעה שהאירוע עדיין נמשך.
ככל הנראה הלקח המיידי למפתחים הוא שכל מקום שבו נשמר מפתח API הוא נקודת סיכון כספית, ולכן כדאי להגדיר תקרות הוצאה והתראות אצל הספקים. הלקח הרחב יותר נוגע לפער בין תוקפים למגינים. כשמודלים מסחריים מסרבים לנתח קוד זדוני, חברות קטנות שאין להן גישה מאושרת לכלים מיוחדים מתקשות להתגונן מפני מתקפות רחבות היקף שמונעות ב-AI. המשמעות היא שהוויכוח על מגבלות הבטיחות של מודלי AI כבר לא רק תאורטי.