OpenCode تقرّ باختراق عرّض مفاتيح 1.4% من مستخدمي Console للتسرب

الملخص

• أقرّت OpenCode باختراق نظام قديم ربطته بهجوم تقطير واسع، وحذّرت 1.4% من مستخدمي Console من تسرب مفاتيح مزوديهم.
• المتأثرون هم من ربطوا مزودين خارجيين بمنصة الوكيل، والشركة تعمل مع Anthropic وOpenAI وغوغل على المعالجة.
• طلبت الشركة من المتأثرين إبطال مفاتيحهم واستبدالها ومراجعة الاستخدام والفواتير، فيما أبلغ مستخدمون عن رسوم غير مصرح بها.

خبر

تعرّضت منصة وكيل البرمجة OpenCode لاختراق أمني ليل الجمعة إلى السبت قالت إنه مرتبط بهجوم تقطير واسع النطاق، وإن مفاتيح مزودي النماذج المحفوظة في مساحات عمل نحو 1.4% من مستخدمي Console ربما تعرّضت للكشف. وأكدت الشركة في منشور على إكس يوم 17 أكتوبر أن الحادث ما زال مستمراً وأنها لا تستطيع مشاركة مزيد من التفاصيل في هذه المرحلة. أبلغت المتأثرين بالبريد الإلكتروني، وقالت إن من لم تصله رسالة لم يتأثر.

تفصيل

• البيان: نشرت OpenCode تأكيدها على إكس السبت الساعة 18:08 بالتوقيت العالمي، وقالت إن الاختراق وقع في الليلة السابقة وإنه مرتبط بهجوم تقطير واسع النطاق. وسبق المنشور بريد إلكتروني إلى مستخدمي Console بعنوان يطلب إجراءً فورياً بشأن احتمال اختراق مفاتيح المزودين، نشر الباحث الأمني مات جوهانسن صورة منه الساعة 15:30.
• النظام المخترَق: قالت الشركة في بريدها إنها رصدت وصولاً غير مصرح به إلى نظام قديم كانت في طور إيقافه، وإن مفاتيح مزودي الطرف الثالث المحفوظة في مساحة عمل المستخدم، ومنها مفاتيح OpenAI وAnthropic، ربما تعرّضت للكشف. وأضافت أن الحادث ما زال جارياً ولذلك لا تستطيع مشاركة تفاصيل إضافية الآن.
• نطاق التأثر: حددت الشركة المتأثرين بنحو 1.4% من مستخدمي Console، وقالت إنهم جميعاً من فئة المستخدمين الذين ربطوا مزودين خارجيين بحساباتهم، وإنها أرسلت البريد إليهم كلهم. وشددت على أن من لم تصله رسالة لم يتأثر بالحادث، من دون أن تعلن عدد الحسابات التي تمثلها هذه النسبة.
• المعالجة: قالت OpenCode إنها تعمل مع Anthropic وOpenAI وغوغل على معالجة الحادث. وطلبت من المتأثرين إبطال المفاتيح المحفوظة في مساحة العمل واستبدالها من لوحات تحكم المزودين، ثم تحديث كل تطبيق أو إعداد نشر يستخدم المفاتيح القديمة، ومراجعة الاستخدام والفواتير في الحسابات المرتبطة بحثاً عن نشاط غير مألوف.
• رسوم غير مصرح بها: أفاد مستخدمون في منتدى ريديت بتكاليف ظهرت على حساباتهم: أحدهم أبلغ عن 400 دولار على حساب Anthropic، وآخر عن نحو 200 يورو على غوغل مع تعليق مشروعه بسبب إساءة استخدام مفرطة. وقال معلّق إنه تلقى تنبيهات استخدام من OpenAI وAnthropic قبل أن تبلغه OpenCode بالحادث.
• تعطل الخدمة: أفاد بعض المستخدمين بانتهاء صلاحية مفاتيح خدمة OpenCode نفسها، وبفشل تسجيل الدخول عبر غوغل وغيت هاب برسالة تعذّر بدء تسجيل الدخول الاجتماعي. وتمكن أحدهم من الدخول وتوليد مفتاح بديل بعد عدة محاولات، بينما قال آخر إن المفتاح الجديد لم يعمل أيضاً.
• الشريك المؤسس: كتب الشريك المؤسس داكس راد الساعة 18:41 بالتوقيت العالمي أن حساباته الشخصية تتعرض للهجوم هي الأخرى. ولم تنشر الشركة تفاصيل تقنية عن طريقة دخول المهاجم ولا مدة وصوله، ولا ما إذا كانت كل المفاتيح المحفوظة قد سُحبت، واكتفت بوصف الحادث بأنه مستمر.
• هجوم التقطير: التقطير هو تدريب نموذج أصغر على مخرجات نموذج أقوى، ووصفت الشركة ما جرى بأنه "large scale distillation attack" من دون أن تفصّل آلية الربط بين الدخول إلى نظامها القديم وبين التقطير. ولم تعلن عدد المفاتيح التي سُحبت فعلاً، ولا ما إذا كانت قد استُخدمت كلها في استدعاء نماذج المزودين.

ماذا بعد؟

التفاصيل التقنية التي حجبتها OpenCode ما دام الحادث جارياً، وموقف Anthropic وOpenAI وغوغل من الرسوم غير المصرح بها التي أبلغ عنها مستخدمون على حساباتهم.

المصدر: أوبن كود