OpenCode hacklendi, kullanıcılara API anahtarlarını iptal etmeleri çağrısı yapıldı

OpenCode, farklı yapay zekâ sağlayıcılarının modellerini destekleyerek geliştiricilerin bu açık kaynaklı kodlama aracını kendi API anahtarlarıyla kullanmalarına olanak tanıyor. Şimdi ise OpenCode, kullanıcılara e-posta göndererek çalışma alanlarında kayıtlı üçüncü taraf API anahtarlarının bir veri ihlalinde açığa çıkmış olabileceği konusunda uyardı. Bazı kullanıcılar, sağlayıcı hesaplarına izin vermedikleri işlemler için şimdiden ücret yansıtıldığını söylüyor.

OpenCode, e-postada, devreden çıkarma sürecinde olduğu eski bir sisteme birinin yetkisiz erişim sağladığını söylüyor. Şirket ayrıca, OpenAI ve Anthropic için olanlar da dahil olmak üzere, kullanıcıların çalışma alanlarında saklanan API anahtarlarının açığa çıkmış olabileceği konusunda uyarıyor. Bu anahtarlar, uygulamaların bağlantılı yapay zekâ hizmetlerini kullanmasına olanak tanıyor; dolayısıyla bunlardan birini ele geçiren bir kişi, hesap sahibinin hesabına ücret yansıtılacak şekilde isteklerde bulunabilir.

Reddit başlığında beklenmedik harcamalara ilişkin çeşitli bildirimler yer alıyor. Bir kullanıcı, Anthropic hesabında 400 ABD doları tutarında yetkisiz ücretlendirme yapıldığını bildirirken bir diğeri, Google kullanım ücretlerinin yaklaşık 200 avroya ulaştığını ve projesinin aşırı kötüye kullanım nedeniyle askıya alındığını söyledi. Bir yorumcu da OpenCode kendisini ihlalden haberdar etmeden önce hem OpenAI hem de Anthropic'ten kullanım uyarıları aldığını belirtti.

OpenCode'a erişim de bazı kullanıcılar için sorun hâline geldi. OpenCode hizmetine ait API anahtarlarının süresinin dolduğunu ve Google veya GitHub üzerinden oturum açma girişimlerinde “Sosyal hesapla oturum açma başlatılamıyor.” hatasıyla karşılaştıklarını söylüyorlar. Bir kullanıcı birkaç denemenin ardından sonunda oturum açıp yeni bir anahtar oluştururken, bir diğeri yeni anahtarının hâlâ çalışmadığını belirtti.

OpenCode, bir güvenlik ihlali yaşandığını doğruladı ve Console kullanıcılarının %1,4'ünün etkilendiğini açıkladı. Şirket, etkilenen hesapların harici sağlayıcıların bağlı olduğu hesapların bir alt kümesi olduğunu belirtti. Etkilenen herkese e-postayla bildirim yapıldı ve OpenCode, e-posta almayan kullanıcıların etkilenmediğini söyledi. Şirket, ihlali, bir yapay zekâ modelinin yanıtlarının başka bir modeli eğitmek için toplanmasını içeren büyük ölçekli bir damıtma saldırısıyla ilişkilendirdi. OpenCode, olayın hâlâ devam ettiğini ve sorunu gidermek için Anthropic, OpenAI ve Google ile birlikte çalıştığını belirtti. Etkilenen kullanıcılardan sağlayıcı anahtarlarını iptal edip yenileriyle değiştirmeleri, bu anahtarları kullanan uygulamaları güncellemeleri ve beklenmedik bir etkinlik olup olmadığını görmek için son kullanımlarını incelemeleri istendi.