OpenCode – ein open-source AI-Code-Agent, der bei Entwicklern als Alternative zu Claude Code und Cursor an Bedeutung gewinnt – berichtete am Samstag, dass Angreifer über Nacht in ein älteres System eindrangen und 1,4 Prozent der Nutzer ihrer Online-Plattform, der OpenCode Console, beeinträchtigt wurden. Dort speichern einige Nutzer die API-Schlüssel oder digitale Passwörter, mit denen sie auf AI-Dienste zugreifen.
Da das Team von OpenCode Schwierigkeiten hatte, mit dem Angriff Schritt zu halten, zeigte die Verfolgungsaktion eine zunehmende Problematik: Unternehmen, die keinen sorgfältig geprüften Zugang zu AI-Modellen mit weniger Sicherheitsbeschränkungen haben, haben Schwierigkeiten, sich gegen großflächige, von AI gesteuerte Cyberangriffe zu verteidigen.
„Gestern Nacht gab es eine Sicherheitskrise, die mit einem großflächigen Destillationsterror zusammenhängt und 1,4 Prozent der Benutzer von OpenCode Console betrifft“, schrieb das Unternehmen auf X. „Wir haben sie heute Morgen per E-Mail informiert.“ Laut dem Unternehmen wurden die Benutzer, die keine E-Mail erhalten hatten, nicht betroffen.
Obwohl das Unternehmen nicht angab, wie der Destillation-Angriff stattgefunden hat, können leakente API-Kennzeichen Benutzer in Ländern mit eingeschränktem Zugang zu amerikanischen Modellen dabei helfen, den erforderlichen hohen Outputspeicher zu erzeugen. Einige Skeptiker bezeichnen diese Vorgehensweise als Übertreibung und argumentieren, dass es sich um einen einfachen Datenabfluss handelt, dessen Nutzung für die Destillation noch nicht bewiesen ist.
Über Nacht begannen Entwickler, Spendenalarme und unautorisierte Kosten auf Reddit und X zu posten. „Ich sah, wie die Spendenalarme für meine Open AI, Anthropic und Google AI vor dem Schlafengehen alle aktiviert wurden, während ich darüber nachdachte, was vor sich ging“, schrieb ein Entwickler.
Andere Nutzer berichteten über Gebühren in Hunderten von Dollar auf einzelnen Konten; einige beschrieben Gesamtsummen von über 1.000 US-Dollar.
Anthropic und Google blockierten beide die API-Kennungen, von denen sie glaubten, dass sie öffentlich zugänglich waren, während OpenAI sagte, es arbeite mit OpenCode zusammen, um den Zugang wiederherzustellen und seine API-Kunden für die im Angriff verwendeten Credits zu erstatten. OpenCode sagte, dass Rückzahlungen für unbefugte Gebühren im Gange sind.
Die ausgehenden Schlüssel waren auf die Konsole beschränkt, wo einige Benutzer sie in Arbeitsbereichen verwendeten. Das Open-Source-App und das Kommandozeilenwerkzeug wurden nicht beeinträchtigt, wie der Mitgründer Dax Raad sagte. „Bitte beachten Sie, dass es sich um die OpenCode-Konsole handelt, nicht um OpenCode selbst – diese Schlüssel erreichen uns nie“, schrieb er auf X.
Selbst als Benutzer und AI-Unternehmen versuchten, die ausgehenden Tasten deaktivieren zu lassen, war das OpenCode-Team weiterhin unter Druck. Raad sagte, dass Angreifer seit 48 Stunden ununterbrochen versucht hatten, in die Systeme einzudringen. Das Team musste daher die AI-Defensive-Agenten rund um die Uhr laufen lassen. Die von dem OpenCode-Team zur Analyse verwendeten AI-Modelle halfen zunächst, aber begannen, nicht mehr zu funktionieren, als der bösartige Code, den sie untersuchen sollten, die Sicherheitsfilter aktivierte.
„[T]Das war etwas frustrierend“, schrieb er auf X.
OpenCode erhielt später Zugang zum Daybreak Blue-Programm von OpenAI, das geprüften Benutzer mit AI-Modellen versorgt, die weniger geneigt sind, Anfragen für defensive Sicherheitsarbeit abzulehnen. Raad sagte, dass der Zugang die Fähigkeit des Teams zu den Untersuchungen des Angriffs verbesserte.
OpenCode ist nicht das erste Unternehmen, das auf diese Hürde gestoßen ist. Im Juli sagte die AI-Plattform Hugging Face dass kommerzielle AI-Modelle seine Bemühungen blockierten, Aktivitätsprotokolle nach einer Angriff durch autonome AI-Agenten zu analysieren. OpenAI veröffentlichte später, dass es sich um eigene Modelle handelte, deren Sicherheitsmaßnahmen während eines Tests reduziert worden waren. In einem Abschnitt seines Blogartikels mit dem Titel „Das Asymmetrie-Problem“ schrieb Hugging Face, dass die Schutzmaßnahmen „nicht unterscheiden können zwischen einem Incident-Responder und einem Angreifer“.
Security-Experten haben ähnliche Beschwerden geäußert und behauptet, dass die Einschränkungen unvereinbar seien und viele Forscher dazu gebracht hätten, Modelle zu verwenden, die jeder herunterladen und ausführen kann.
Die Wochenendepisode erhielt eine Reaktion von David Sacks, Mitvorsitzender des Rates der Berater des Präsidenten für Wissenschaft und Technologie.
„OpenCode (und die frühere Hugging Face) stieß während des Angriffs auf denselben Widerstand: die Frontier-Modelle weigerten sich, die für die Verteidigung notwendigen Angriffe zu analysieren, weil die Payloads die Sicherheitsfilter blockierten. Die Schutzmaßnahmen verhielten sich umgekehrt“, schrieb er auf X.
Der Bruch ereignete sich in derselben Nacht wie OpenCode gemacht GLM-5.3-Flash kostenlos für Benutzer. Die umfassendere GLM-5.3-Familie hat gezeichnet Aufmerksamkeit von Forschern, die Open-Weight-Modelle untersuchen, die darauf hinweisen, dass ihre Cybersicherheitsfähigkeiten die Levels erreichen, die bisher mit eingeschränkt zugänglichen Modellen wie Anthropics Claude Mythos Preview verbunden waren.
OpenCode hat nicht detailliert erklärt, wie die Angreifer Zugang zum alten System erlangten, wie die Schlüssel gespeichert wurden oder welche Auswirkungen das Missbrauchsmuster hatte. Die Firma hat die betroffenen Benutzer aufgefordert, ihre Schlüssel direkt bei jedem Anbieter zu entziehen und durch neue ersetzen. Das Vorfall bleibt weiterhin bestehen.
Der Angriff tritt in einer Reihe von durch KI unterstützten Cybervorfällen auf. Anfang dieses Monats war das Cybersicherheitunternehmen CrowdStrike betroffen. gesagt Ein in China ansässiger Hacker verwendete wahrscheinlich einen AI-Penetrationstest-Agenten, der Computerysteme nach Schwächen prüft, und Claude bei Angriffen Südkoreanische Banken. Letzte Woche, die Cybersicherheitsbehörde Indiens warnt Dass AI-Agenten, einschließlich einiger, die von AI-Unternehmen getestet werden, ohne Genehmigung in die Systeme indischer Organisationen gelangten.