AçıqCode Təhlükəsizlik müdafiə: çalınmış anahtarlar nereye çatdı?

17 oktyabr 2026-da bəzi geliştirici OpenAI və Anthropic-dan istifadə edərək bütün işlər üçün istifadə olunur. Bir neçə saat sonra, açıq-poçt kompüter agent OpenCode olaraq Konsol xidmətdə bir təhlükəsizlik pozulması olduğunu doğruladı. Şirkət böyük ölçülü distillation hücum ilə bağlı idi. Bu yazıda, OpenCode təhlükəsizliyi pozulmasında düzeldiyini, distillation hücumunun necə çalındığını və API-nin bu masaya yerləşdirilməsi.

OpenCode Təhlükəsizlik müdafiədir?

OpenCode X hesabından ilk izahı qısa qaldırıldı:

"Biz gündüz böyük ölçülü distillation hücum ilə bağlı bir təhlükəsizlik pozuluşunu yaşadık." (OpenCode, X)

Developers Digest adlı məlumatlara görə İmtahan OpenCode Konsol istifadəçilərinin 1,4%-ini edir. İstifadəçilər Konsolanın xarici təchizatçısını qarşı bağlayan və e-poçtla 17 oktyabr tarixi ilə bağlı istifadəçilərin bir subset kimi müəyyən edilmişdir. Şirkətinə uyğun olaraq e-poçt almaq üçün istifadə e-poçt ünvanı

Kitabxanada yayımlanmış xidmətlərinə görə E-mail-də, hücumer çıxış prosesində, əvvəl sistemin xüsusiyyətsiz giriş olduğunu göstərdi. Bu yazıb ki, iş sahəsində qeyd olunan üçüncü tərəflər açıqla bilər. OpenCode Anthropic, OpenAI və Google ilə birlikdə çalışıb. Anthropic də Claude API biz bundan əvvəl olmaq istədiyimizi düşündürdü.

Əgər suallar haqqında Nə bir neçə keyfiyyət çıxarılır, hücum arxasında kim var, və "kökmə hücum" söz bu hadisə tam kasd olan şirkət tərəfindən izah deyil. E-mailin məhsulu rəsmi bir elan kimi yayımıq; təyyarət nümunəsi Hacker Xəbərlərinə yığılmış bir istifadəçi əsaslanır.

Yerli OpenCode Konsolu arasında açıqlıq necədir?

OpenCode terminalda çalışan açıq mövcud kodlaşdırıcı agentdir. Developers Claude, OpenAI və Google modellərini öz API açarları ilə bağlayır. Bu istiqamətlə Masqot AI kodları İstehsalçılıq arasında. Konsol, OpenCode evlənmiş olduğu web-based iş sahəsidir; komandalar onların təchizatçı anahtarlarını burada depola bilər və onları istifadə edə bilər.

Qeydlər üçün əsas müasir sualdırma. Redreamality-də yayımlanmış analizinə görə OpenCode geliştirici, OpenCode-da yerləşdirilməsi, OpenCode özündə deyil, və yerli istifadə edilən anahtarlar şirkəti heç bir zaman çatdı. eyni analizdə, istifadəçilər kompüter üzrə zəruri bir şey işləməmişdir.

Distillation hücumu nədir?

Distillation (distillation) böyük "student" çıxışları ilə daha kiçik "student" modelinin təhsil edilməsi adıdır. Metodun özü mövcuddur; laboratoriyalar öz modellərinin daha ucuz versiyalarını bu yolla istehsal edir. Problem, digər şirkətin modelini qazanmaq və sistematik sorğunlaşdırmaq və bir rakibi model qazanmaq zaman başlayır.

Anthropic'in 23 Şubat 2026'da yayımladığı duyuruya göre DeepSeek, Moonshot ve MiniMax, yaklaşık 24.000 sahte hesap üzerinden Claude ile 16 milyondan fazla etkileşim gerçekleştirdi. Aynı duyuruda MiniMax'ın tek başına yaklaşık 13 milyon etkileşimle en büyük trafiği ürettiği belirtildi. Kampanyaların hedefinde Claude'un ajan muhakemesi, araç kullanımı ve kodlama yetenekleri vardı. Anthropic, Çin'de ticari erişim sunmadığı için bu erişimin proxy servisleri üzerinden sağlandığını öne sürdü; suçlamalar Anthropic'in kendi tespitlerine dayanıyor.

Çalınan API Anahtarları Neden Damıtmaya Yarıyor?

Damıtma ölçek ister, ölçek de çok sayıda hesap ister. Sağlayıcılar sahte hesapları kapattıkça, meşru bir müşteriye ait gerçek bir anahtar daha değerli hale geliyor. Anthropic'in 10 Eylül 2026 tarihli tehdit raporunda yasa dışı damıtmanın çalıntı kartlar, giriş bilgileri ve API anahtarlarıyla kurulan sahte hesap ağlarına dayandığı anlatılıyor. Raporda, "aktarma istasyonu" olarak anılan proxy servislerinin binlerce hesabı bu yöntemlerle açtığı belirtiliyor.

Aynı rapor, incelenen siber vakaların tamamında anahtarların Anthropic müşterilerinin ortamlarından çalındığını yazıyor. Saldırganlardan bazıları, LiteLLM kullanan aracı servislere prompt injection uygulayarak bulut ortamındaki üretim anahtarlarını dışarı sızdırdı. Çalıntı bir anahtar saldırgana iki şey birden sağlıyor: faturası başkasına kesilen işlem gücü ve anahtarın gerçek sahibinin trafiğine karışan, ayırt edilmesi zor bir kullanım.

Bu masanın sürəti limitləri də bu masada mövcuddur. İşOS-da yayımlanmış məlumatlar OpenAI 24-25 İyulda 4,000-dən artıq hesabları yayılmış 16,000 ekstraksiya məlumat məlumat məlumatlarını təmin edir; hesab başına ortalama 4 istəyir. Əməliyyat açıqdır: hesabın ucuz olduğu hər bir API sürət limitinin yalnız istismarı deyil, lakin yalnız qazanmaq. Bir quraşdırılmış kampaniyada bir əsas adi istifadə kimi görünə bilər, bir neçə yüz dollar qazanır.

Bir uyarı əlavə etmək lazımdır. OpenCode-da sızma və distillation kampaniyaları arasında əməkdaş yalnız şirkətin öz məsləhətinə və hesabsız doğru deyil.

Yadda saxla

Tam ümumi sayı paylaşıb, lakin istifadəçi bildirişlərin ölçüsü haqqında fikir verir. Satışdan keçirilən istifadəçi, bağlı AI hesablarını $400 kimi açıqladı. Redreamality analiz daxil olan bir geliştirici, eyni gedir ki, $281 OpenAI və 168 Anthropic tərəfindən qəbul edilmişdir.

Remarkable ətraflı təhlükəsizlik ilk OpenCode təhlükəsiz təhlükəsizlik təşkil edir. Rəsmi istifadəçilər OpenAI və Anthropic-dan OpenCode bildirməyə qəbul edilir. Bir ictimai məsləhət haqqında saxlamaq üçün geri dönməyəcək avadanlıqlardan deyil.

Daxili Xidmətlərdə Key Riski necə azaldır?

Əsas üçüncü tərəfli paneldə qəbul edilir zaman, təhlükəsizlik bu xidmətin zəngin sistemi ilə bağlıdır. OpenCode, giriş növü şirkətin ən yaxşı olduğu yaşlı bir sistem idi. Bu hadisənin praktik addımları:

1. İstehsalçı key Konsola qəbul edilmişdirsə, e-poçt qəbul olmadan təchiz panelindən yenilənməlidir.

2. OpenAI, Anthropic və Google panellərin limiti və istifadə edərək təhlükəsizliyini müəyyən etmək lazımdır; bu hadisə ilk səhifə avadanlıq təhlükəsizliyi verdi.

3. Hər bir avtomobil üçün ayrı və təhlükəsiz dar çıxış istifadə olunmalıdır; bir çox xidmətlərdə eyni qurmaq sızmanın təsirini artırır.

4. Yerli istifadə Keys kod mağazasına yazılı deyil, lakin mühitlər.

MasqotQ E-poçt ünvanı detail. Cihazda qeydiyyatdan keçirilmiş pestisitlərin qarşı alınması E-poçt ünvanı Qeyd olunub. OpenCode halunu qarşılayan növbəti istifadəçinin cihazdan deyil, lakin etibarlı xidmət server.

ictimai ne düşünür?

Olay geliştirici ictimai həyata oturdu. Redreamality analiz "OpenCode Hacker News Hacked: İstifadəçi ID çıxdı" başlığı eyni gün 854 nömrə və 159 şərhə çatdı. Başın üst konfransı Konsol və terminal versiyası arasında ayrılıq deyil. X-də paylarda 1.700-dən artıq istifadəçilər.

Müdafiənin bir hissəsi şirkətin seçilmiş dili ilə çevrilir. Developers Digest, "kəyahət" sənayesinin bu hadisə məsləhət etdiyini söylədi. Müzakirələrin əsas problem hücumerin mövcud deyil, lakin təhlükəsiz sistemdə saxlanılır.

distillation özü de müzakirədir. GovInfo Security-da yayımlanmış xidmətlərinə görə Anthropic və OpenAI, ABŞ-ın manifestolarında Meta CEO Mark Zuckerberg-in qəbul edilməsinin AI liderliyini qəbul etməyə kömək edəcəkdir. Bir parti intellektual mülki və milli təhlükəsizlik mövzusu kimi distillation görür zaman, digər parti onu maşın öyrənmək normal hissə edir.

Əgər sorğular

OpenCode API tuşlarını dəyişdirir?

Yadda saxla Developers Digest e-poçt almaq istədiyi halda, təchizatçı paneldən bu tuşları yeniləməyir. Yalnız yerli versiya istifadə olanlar üçün, şirkət bir nəticə bildirmədi, lakin müxtəlif key yeniləndirilməsi hər halda yaxşı bir alış-verişdir.

Yerli OpenCode istifadəçiləri müqayisə tələb olunur?

Şirkətin təyin edilməsi haqqında OpenCode geliştirici, qarşılaşmanın ev sahibi Konsol xidməti ilə təcrübəli olduğunu və yerli istifadə edilən anahtarların şirkətinə çatmadığını göstərdi.

Model distillation qeyd edir?

Distillation yalnız gizli bir üsul deyil; laboratoriyalar öz modellərini minimuma azaltmaq üçün istifadə olunur. Anthropic və OpenAI modellərin izinsiz distillasiyanın istifadə edilməsi mövcuddur. Meta, distillation geniş qəbul olduğundan.

Arxiv API istifadəçiləri geri döndü?

Həmçinin açıq təchizatçı siyasəti deyil. Anthropic istifadəçi Claude tuşlarını qarşısını alır, lakin geri proses izah deyil. İctimai dəstəkləndirilməsi halda, müxtəlif təhsil komandasına müraciət etmək lazımdır.

OpenCode Zen və Go istifadəçiləri nədir?

Bu sual deyil. OpenCode təsviri yalnız xarici təhlükəsiz Konsol istifadəçilərindən söz edir; Zen və Go məlumat üçün ayrı məlumat paylaşılmışdır.

OpenCode mövcudun məlumatları ilə rəsmi hesabat yayımlamaq gözlənir. Daxil olmaqla bütün masanın şəhərin və distillation bağlantısı yaradılmışdır. Müəlliflik hüququqları qorunur.