Açık kaynaklı OpenCode'da 'açık': Hesapları boşalttılar

Açık kaynaklı yapay zeka kodlama aracı OpenCode, Console hizmetinde yaşanan bir saldırıyı duyurdu. Şirket, 16 Ekim gecesi eski bir sisteme girildiğini ve hizmetin kullanıcılarının yüzde 1,4'ünü etkilediğini açıkladı. 

Console, bazı kullanıcıların yapay zeka hizmetlerine erişmek için kullandığı API anahtarlarını, yani dijital parolalarını sakladığı bir platform.

Şirket, X üzerindeki açıklamasında olayı büyük ölçekli bir damıtma saldırısıyla ilişkilendirdi. Saltırı öncesi kullanıcılara e-posta gönderildiği, e-posta almayanların ise etkilenmediği bildirildi. OpenCode, saldırının nasıl gerçekleştiğine dair ayrıntı paylaşmadı.

Sızan anahtarların, ABD yapay zeka modellerine erişimi kısıtlı ülkelerdeki kullanıcıların yüksek hacimli çıktı üretmesine yardımcı olabileceği belirtiliyor. 

Faturaları paylaştılar

Geliştiriciler Reddit ve X'te harcama uyarılarını ve yetkisiz ücretleri paylaştı. Bazı hesaplarda yüzlerce dolarlık faturalar görüldü, birkaç kullanıcı ise toplamın 1.000 doların üzerine çıktığını bildirdi.

Anthropic ve Google, açığa çıktığı düşünülen API anahtarlarını engelledi. OpenAI ise OpenCode ile birlikte erişimi geri getirdiğini ve saldırıda kullanılan kredileri API müşterilerine iade edeceğini açıkladı. 

İlgili haberlerYapay zeka devleri, batan şirketlerin e-postalarını satın alıyor!OpenAI'da ajan skandalı: Kraliyetle ilişkili çalışana davaAnthropic hisselerinin yüzde 5’ini kamu yararı fonuna ayırdı

Etkilenen anahtarlar yalnızca Console'daki çalışma alanlarında yer alıyordu. Açık kaynaklı uygulama ve komut satırı aracı etkilenmedi. Ortak kurucu Dax Raad, anahtarların hiçbir zaman OpenCode ekibine ulaşmadığını ve kastettiklerinin Console olduğunu X üzerinden belirtti.

Yapay zeka ile savundular

Raad, saldırganların 48 saat boyunca sisteme sızmaya çalıştığını ekibin ise savunma için kullandığı yapay zeka ajanlarını gece gündüz çalıştırmak zorunda kaldığını söyledi. Analiz için kullanılan modeller bir süre yardımcı oldu; ancak incelenmesi istenen kötü amaçlı kod güvenlik filtrelerini tetikleyince çalışmayı reddetmeye başladı. 

OpenAI Daybreak Blue kurtardı

Ekip daha sonra OpenAI'nin Daybreak Blue programına erişim sağladı. Program, doğrulanmış kullanıcılara savunma güvenliği işlerinde daha az reddeden modeller sunuyor. Raad, bu erişimin saldırıyı inceleme kabiliyetini iyileştirdiğini vurguladı. 

OpenCode, bu sorunu yaşayan tek şirket değil. Temmuz ayında Hugging Face, otonom yapay zeka ajanlarının yaptığı bir sızma girişiminin kayıtlarını incelemeye çalıştığında ticari modellerin analizi engellediğini açıklamıştı. OpenAI sonradan bu ajanların kendi modelleri olduğunu ve bir test sırasında güvenlik önlemleri gevşetilmiş halde çalıştıklarını ortaya koydu.