OpenCode refunderer regninger på over 1.000 dollar

Nogle OpenCode-brugere fik regninger på flere hundrede dollar, og enkelte over 1.000 dollar, efter at hackere brød ind i et ældre system bag OpenCode Console. Ifølge OpenCode blev 1,4 procent af brugerne af Console ramt, og alle er varslet med en mail.

Console er, hvor nogle brugere opbevarer deres API-nøgler — de digitale adgangskoder til AI-tjenester. Selve OpenCode-appen og kommandolinjeværktøjet var ikke berørt, og nøglerne når aldrig ind til OpenCode selv, understreger medstifter Dax Raad.

Anthropic og Google har spærret de nøgler, de mente var lækket. OpenAI siger, at selskabet har arbejdet med OpenCode for at genoprette adgang og har refunderet kreditter brugt i angrebet. OpenCode siger, at refusioner af de ubeføjede opkrævninger er i gang.

OpenCode kalder selv hændelsen et storskala-destillationsangreb uden at forklare, hvordan det foregik. Ifølge TechCrunch kan lækkede nøgler hjælpe folk i lande med begrænset adgang til amerikanske modeller med at producere de store mængder svar, den slags træning kræver. Skeptikere kalder det en overfortolkning og påpeger, at der ikke er bevis for, at nøglerne blev brugt sådan.

Imens havde teamet svært ved at følge med. Raad sagde, at angribere i 48 timer i træk forsøgte at trænge ind, og at holdet måtte køre AI-agenter på vagt hele døgnet. De modeller, de brugte til at analysere den ondsindede kode, begyndte at afvise opgaven, når koden udløste sikkerhedsfiltre. Først da OpenCode fik adgang til OpenAIs Daybreak Blue-program, blev undersøgelsen lettere.

OpenCode har ikke forklaret, hvordan angriberne kom ind i det ældre system, eller hvor stort misbruget er. Ramte brugere bliver bedt om at tilbagekalde og udskifte deres nøgler hos hver udbyder. Ifølge selskabet er hændelsen stadig i gang.