نفوذ به OpenCode Console؛ کلیدهای API کاربران سرقت و حساب‌ها خالی شد
مهاجمان به بخش آنلاین ابزار متن‌باز OpenCode نفوذ کردند و کلیدهای API ذخیره‌شده را برداشتند. برخی کاربران صدها تا بیش از هزار دلار هزینه ناخواسته دیدند.
OpenCode، عامل کدنویسی متن‌باز که جایگزین محبوب Claude Code و Cursor شده، اعلام کرد مهاجمان به بخشی از پلتفرم آنلاین آن، یعنی OpenCode Console، نفوذ کرده‌اند. به گفته منابع خبری، کلیدهای API سرویس‌های OpenAI، Anthropic و Google که برخی کاربران آنجا ذخیره کرده بودند، سرقت شد. بر اساس گزارش‌ها، این رخداد حدود ۱۴ درصد از کاربران Console را درگیر کرده است.
چه اتفاقی افتاد؟
طبق گزارش TechCrunch، نفوذ در جریان شبی در حوالی ۱۷ تا ۱۹ اکتبر ۲۰۲۶ رخ داد و مهاجمان به بخشی از سامانه آنلاین OpenCode دسترسی گرفتند. BleepingComputer بازه در معرض خطر را از ساعت ۰۰:۳۰ به وقت UTC روز ۱۷ اکتبر تا لحظه شناسایی حمله ذکر می‌کند. منابع در تاریخ دقیق یکسان نیستند و شرکت هنوز جزئیات فنی کامل را منتشر نکرده است.
درصد کاربران درگیر در گزارش‌ها ۱٫۴ درصد از کاربران Console بیان شده؛ یعنی کسانی که کلید سرویس‌های هوش مصنوعی را در فضای کاری خود ذخیره کرده بودند. خود برنامه متن‌باز OpenCode، به گفته گزارش‌ها، تحت‌تأثیر قرار نگرفته و مشکل فقط به پلتفرم میزبانی‌شده مربوط است.
مهاجمان با کلیدهای سرقت‌شده حجم زیادی پرسش به مدل‌ها فرستادند. OpenCode این اقدام را «حمله تقطیر در مقیاس بزرگ» توصیف کرده است؛ روشی که در آن پاسخ‌های مدل‌های قدرتمند جمع‌آوری می‌شود تا مدلی کوچک‌تر و ارزان‌تر شبیه آن‌ها آموزش ببیند.
نکات کلیدی
- حدود ۱٫۴ درصد از کاربران Console درگیر شدند
- کلیدهای OpenAI، Anthropic و Google در معرض خطر بودند
- برنامه متن‌باز اصلی تحت‌تأثیر قرار نگرفته است
خسارت و واکنش شرکت‌ها
برخی کاربران از هزینه‌های ناخواسته‌ای میان صدها دلار تا بیش از ۱٬۷۰۰ دلار طی یک شب خبر داده‌اند. به گزارش BleepingComputer، بعضی پروژه‌های Google Cloud هم به دلیل فعالیت مشکوک مشابه منابع ربوده‌شده تعلیق شدند.
به گفته TechCrunch، Anthropic و Google کلیدهای در معرض خطر را مسدود کردند و OpenAI برای هزینه‌های ناشی از حمله بازپرداخت در نظر گرفت. OpenCode می‌گوید با این سه شرکت همکاری می‌کند و کاربران آسیب‌دیده را با ایمیل مطلع کرده است.
نکته جالب‌تر، مشکلی بود که تیم OpenCode هنگام بررسی حادثه با آن روبه‌رو شد: مدل‌های هوش مصنوعی به‌دلیل محافظ‌های ایمنی داخلی از تحلیل کدهای مخرب خودداری می‌کردند. گزارش‌ها می‌گویند شرکت برای تحلیل بهتر، به برنامه‌ای با دسترسی بدون محدودیت به مدل‌های OpenAI دست یافته است.
چرا برای برنامه‌نویس‌ها مهم است؟
این رخداد نشان می‌دهد ابزارهای کدنویسی مبتنی بر هوش مصنوعی عملاً به گاوصندوق کلید تبدیل شده‌اند. کلید API به‌خودی‌خود اعتبار مالی است؛ هر کس آن را بردارد می‌تواند روی حساب شما مدل اجرا کند، و هزینه‌اش را صاحب کلید می‌پردازد. هرچه کلیدهای بیشتری در یک پلتفرم واسط جمع شود، آن پلتفرم هدف جذاب‌تری می‌شود.
توصیه رایج برای کاربران آسیب‌دیده این است که کلیدها را مستقیم از پنل هر ارائه‌دهنده باطل و جایگزین کنند، هزینه‌ها را بررسی کنند و برای هر کلید سقف مصرف و هشدار هزینه تنظیم کنند. بهتر است از کلیدهای جداگانه با دسترسی محدود برای هر ابزار استفاده شود تا در صورت نشت، دامنه خسارت کوچک بماند.
برای کاربران ایرانی هم این موضوع اهمیت دارد، چون بسیاری برای دسترسی به سرویس‌های هوش مصنوعی از واسطه‌ها و پلتفرم‌های شخص ثالث استفاده می‌کنند. هر واسطه‌ای که کلید یا اعتبار شما را نگه می‌دارد، یک نقطه ضعف اضافه است.
جمع‌بندی
هنوز مشخص نیست مهاجمان چگونه وارد شدند و کلیدها چگونه ذخیره شده بودند، و جزئیات بیشتر احتمالاً در روزهای آینده منتشر می‌شود. فعلاً درس روشن است: کلیدهای API را مثل رمز عبور مدیریت کنید، آن‌ها را محدود و دوره‌ای تعویض کنید و تا حد ممکن در پلتفرم‌های واسط ذخیره نکنید.
منابع
- TechCrunch: Hackers hit AI coding tool OpenCode, running up charges on users’ AI accountstechcrunch.com
- BleepingComputer: OpenCode hack exposes API keys amid AI distillation attacksbleepingcomputer.com
این خبر بر اساس منابع بالا به فارسی بازنویسی و خلاصه شده است؛ برای جزئیات کامل به منبع اصلی مراجعه کنید.