احتمال افشای کلیدهای API سرویس‌های هوش مصنوعی در پی رخنه امنیتی OpenCode
نویسنده: دوایپایان روی
۱۸ اکتبر ۲۰۲۶، ساعت ۱۰:۰۴ صبح
پلتفرم OpenCode که مدل‌های هوش مصنوعی ارائه‌دهندگان مختلف را با یکدیگر یکپارچه می‌کند، وقوع یک رخنه امنیتی را تأیید کرده است. این شرکت اعلام کرد فردی غیرمجاز به سامانه‌ای قدیمی دسترسی پیدا کرده که قرار بود از چرخه فعالیت خارج شود. در جریان این حادثه، احتمال دارد کلیدهای API متعلق به ارائه‌دهندگان شخص ثالث که در فضای کاری کاربران ذخیره شده بودند، افشا شده باشند؛ از جمله کلیدهای سرویس‌های پرکاربردی مانند OpenAI و Anthropic.
بررسی پیامدها
هزینه‌های غیرمجاز و مشکلات دسترسی کاربران
این رخنه امنیتی تاکنون برای برخی کاربران هزینه‌های غیرمجاز به همراه داشته است.
یکی از کاربران از ثبت هزینه‌ای معادل ۴۰۰ دلار در حساب Anthropic خود خبر داد. کاربر دیگری نیز اعلام کرد هزینه مصرف خدمات گوگل در حسابش به حدود ۲۰۰ یورو رسیده است. پروژه کاربر دوم حتی به دلیل سوءاستفاده بیش از حد به حالت تعلیق درآمد.
چندین کاربر دیگر نیز گزارش دادند که پس از منقضی شدن کلیدهای API یا از کار افتادن آن‌ها هنگام تلاش برای ورود از طریق گوگل یا گیت‌هاب، در دسترسی به خدمات OpenCode با مشکل مواجه شده‌اند.
جزئیات حمله
همکاری OpenCode با ارائه‌دهندگان هوش مصنوعی برای مهار پیامدهای رخنه
OpenCode تأیید کرده است که ۱٫۴ درصد از کاربران کنسول این پلتفرم تحت تأثیر این رخنه امنیتی قرار گرفته‌اند.
این شرکت حادثه را به حمله‌ای گسترده از نوع استخراج دانش از مدل (Distillation) مرتبط دانسته است؛ روشی که در آن پاسخ‌های یک مدل هوش مصنوعی جمع‌آوری می‌شوند تا برای آموزش مدلی دیگر به کار بروند.
در پی این حادثه، OpenCode برای کاهش پیامدهای آن با Anthropic، OpenAI و گوگل همکاری می‌کند.
توصیه‌های امنیتی به کاربران
اقدامات احتیاطی و نگرانی‌های امنیت سایبری
OpenCode از کاربران آسیب‌دیده خواسته است کلیدهای دسترسی صادرشده از سوی ارائه‌دهندگان را باطل کنند و کلیدهای جدیدی جایگزین آن‌ها سازند.
این شرکت همچنین از کاربران خواسته است برنامه‌هایی را که از این کلیدها استفاده می‌کنند به‌روزرسانی کنند و سوابق مصرف اخیر حساب‌های خود را برای شناسایی هرگونه فعالیت غیرمنتظره بررسی کنند.
این حادثه بار دیگر اهمیت امنیت سایبری را در پلتفرم‌هایی برجسته می‌کند که با داده‌های حساس مربوط به API چندین ارائه‌دهنده هوش مصنوعی سروکار دارند.