OpenCode признала утечку данных: хакеры атаковали через дистилляцию модели
OpenCode Hacked: User credentials leaked
OpenCode сообщила о взломе, затронувшем 1,4% пользователей OpenCode Console. Инцидент произошёл прошлой ночью и связан с масштабной атакой методом дистилляции. Компания уже уведомила пострадавших по электронной почте, но расследование продолжается, поэтому подробности не раскрываются. OpenCode работает с Anthropic, OpenAI и Google над устранением последствий. Пользователи в комментариях жалуются на потерю средств и сомневаются, что дистилляционная атака могла привести к утечке ключей.
Произошла утечка в сфере безопасности прошлой ночью, связанная с масштабной атакой дистилляции, которая затронула 1,4% пользователей OpenCode Console.
- redsymbol
Проясню кое-что, с чем команда OpenCode плохо справилась:
Утечка касалась чего-то под названием 'OpenCode Console', что отличается и отделено от кодинг-агента OpenCode. Если вы просто используете кодинг-агент, вас это не затрагивает. 'OpenCode Console' — это сервис, похожий на OpenRouter, но гораздо менее распространённый.
Название 'OpenCode Console' крайне запутанное, потому что можно подумать, что оно означает CLI-кодинг-агент. Это не так. 'OpenCode Console' не имеет ничего общего с CLI/TUI кодинг-агентом, как и с версией десктопного приложения.
Ситуацию усугубляет то, что у 'OpenCode Console' почти нет документации в сети, а официальное объявление об утечке вообще не проясняет это различие. Команда OpenCode ужасно справилась с коммуникацией, и это их вина.
Сегодня плохой день для тех, кто пользуется 'OpenCode Console'. Но большинство людей, вероятно, подавляющее большинство пользователей OpenCode, читающих это, не используют 'OpenCode Console'.
- pranshuchittora
Я автор этого поста. Похоже, фанаты / команда OpenCode недовольны тем, что этот пост попал на первую страницу HN. Его уже многие отметили флагом.
Я никогда не прошу апвоутов, но было бы здорово, если бы вы могли проголосовать за него.
Спасибо!
- Ciantic
Я думаю, в каждой системе с API-ключами должен быть эндпоинт "invalidate_api_key", чтобы белые хакеры или сторона, которая их хранила, могли аннулировать все ключи в случае утечки. Сейчас это гонка со временем, и всем пришло письмо, и каждый должен действовать сам.
- computerex
Почему мои API-ключи в рабочем пространстве оказались скомпрометированы? OpenCode отправляет мои API-ключи на свои бэкенд-серверы??? Это была атака на цепочку поставок, которая заразила саму программу opencode? Что происходит?
- djchen
Правильно ли я понимаю, что это затронуло только некоторых пользователей OpenCode Zen, которые хранили свои (BYOK) API-ключи от Anthropic/Google/OpenAI?
По сути, они использовали OpenCode Zen аналогично OpenRouter, где можно использовать BYOK или их ключи и платить по тарифам за токены.
- jchw
Я не использую OpenCode, но хотел бы знать, кого это затрагивает. Наверняка людей, которые просто используют OpenCode локально со своими учётными данными, это не затронуло, верно? Похоже, это что-то вроде хостингового сервиса, куда вы вводите свои ключи. Не говорю, что это не плохо, но это неясно, и они не делятся никакой информацией.
- rozenmd
@dang этот заголовок нужно обновить: "OpenCode Console hacked: User credentials leaked"
На opencode CLI это никак не влияет.
- oldfuture
https://news.ycombinator.com/item?id=50108261
вот почему тогда virustotal помечал его