أعلنت OpenCode مؤخرًا أن منصتها على الإنترنت OpenCode Console تعرضت لثغرة أمنية، أثّرت على نحو 1.4% من المستخدمين، حيث قد تكون بعض مفاتيح API الخاصة بخدمات الذكاء الاصطناعي المخزنة لدى المستخدمين قد سُرّبت، مع ظهور مكالمات API غير مصرح بها ورسوم باهظة. وذكرت الشركة أنها أبلغت المستخدمين المتأثرين عبر البريد الإلكتروني، وما زال الحادث قيد التحقيق والمعالجة.
وقالت OpenCode إن هذا الحادث مرتبط بهجوم واسع النطاق لتقطير البيانات، لكن طريقة الهجوم المحددة لم تُعلن بعد، كما تعرضت هذه التصريحات لشكوك من بعض الباحثين. بعد وقوع الحادث، حظرت Anthropic وGoogle مفاتيح API التي اعتقدتا أنها سُرّبت، بينما تعاونت OpenAI مع OpenCode لاستعادة صلاحية الوصول، وأعادت للعملاء المتأثرين من عملاء API النقاط ذات الصلة. وذكر بعض المستخدمين ظهور رسوم غير مصرح بها في حساباتهم بمئات الدولارات وحتى أكثر من 1000 دولار، وقالت OpenCode إنها تعمل على تسريع عمليات رد الأموال.
وشدد المؤسس المشارك لـ OpenCode Dax Raad على أن نطاق التأثر يقتصر على منصة Console فقط، وأن التطبيق مفتوح المصدر وأداة سطر الأوامر لم يتأثرا. كما كشف أن المهاجم حاول اختراق النظام على مدى 48 ساعة متواصلة، وأن الفريق استخدم وكلاء دفاعية مدعومين بالذكاء الاصطناعي لإجراء تحقيق طارئ، لكن بعض النماذج توقفت عن التحليل بسبب تفعيل آلية الترشيح الأمني بواسطة الشيفرة الخبيثة. بعد ذلك، حصلت OpenCode على صلاحية الوصول إلى مشروع OpenAI Daybreak Blue لتعزيز قدرتها في مهام الأمن الدفاعي.
أعاد هذا الحادث إطلاق النقاش حول حواجز أمان الذكاء الاصطناعي. ففي الشهر 7 من هذا العام، كانت Hugging Face قد ذكرت أيضًا أن القيود الأمنية على نماذج الذكاء الاصطناعي التجارية أعاقت تحليلها لسجلات اختراق وكلاء ذكاء اصطناعي مستقلين.
وفي الوقت نفسه، وقع حادث OpenCode هذا تزامنًا مع طرحها مجانًا لنموذج GLM-5.3-Flash. ومع توسع استخدام وكلاء الذكاء الاصطناعي في الهجمات السيبرانية والدفاع عنها، أصبح كيفية تحقيق التوازن بين تقييد السلوك الخبيث ودعم الأبحاث الأمنية المشروعة قضية مهمة تواجه القطاع.