OpenCode Console'a sızıldı, kayıtlı API anahtarları açığa çıktı

Kötü bir hafta sonu. Açık kaynaklı yapay zekâ kodlama ajanı OpenCode, 17 Ekim Cumartesi günü X hesabından bir güvenlik ihlali duyurdu. Hedef, OpenCode Console oldu. Console, ekiplerin OpenAI, Anthropic ya da Google anahtarını saklayıp model isteklerini o anahtarla doğruladığı barındırılan servis. Şirkete göre saldırganlar, kullanımdan kaldırılmakta olan eski bir sisteme girdi. Anahtarların açığa çıkmış olabileceği en erken an 17 Ekim, 00.30 UTC.

Etkilenenler Console kullanıcılarının yüzde 1,4'ü. Bunlar da yalnızca dış sağlayıcı bağlamış olanlar; şirket onlara e-postayla haber verdi. Kurucu ortak Dax Raad'a göre açık kaynak uygulama ve CLI (komut satırı aracı) etkilenmedi, çünkü yerelde tutulan anahtarlar şirkete hiç gelmiyor. OpenCode olayı bir "distillation" saldırısı (ele geçirilen erişimle model çıktısı toplayıp başka modelleri eğitmek) olarak tanımlıyor. Bu iddia bağımsız olarak doğrulanmadı.

Kullanıcılar bir gecede yüzlerce dolarlık fatura bildirdi. Birkaç vakada tutar 1.000 doları aştı, bir raporda 1.700 dolara yaklaştı. Anthropic ile Google açığa çıktığını düşündükleri anahtarları engelledi. OpenAI ise saldırıda harcanan kredileri iade edeceğini açıkladı.

Tavsiyem net: Anahtarı OpenCode içinde silmek yetmez, çünkü alınmış bir kopyayı iptal etmez. Anahtarı her sağlayıcıda ayrı ayrı iptal edip yenileyin, 16 Ekim'den bu yana faturanızı da gözden geçirin.