Хакеры взломали старую систему OpenCode и поставили под угрозу ключи к моделям OpenAI, Anthropic и Google

В ночь на 16 октября 2026 года злоумышленник проник в устаревшую систему сервиса OpenCode и мог получить доступ к API-ключам OpenAI, Anthropic и Google, которые пользователи сохранили в облачной консоли. Под потенциальную угрозу попали 1,4% пользователей OpenCode Console, подключивших внешних поставщиков ИИ-моделей. Компания рекомендовала отозвать прежние ключи и выпустить новые, но пока не подтвердила, что их действительно скопировали или использовали.

Потенциально затронутые клиенты получили письма утром 17 октября, как сообщило издание The Hacker News. Те, кому уведомление не пришло, в выявленную группу риска не попали. Инцидент коснулся только OpenCode Console, облачного сервиса для командной работы, а не всего продукта. Console хранит в рабочем пространстве собственный ключ OpenAI, Anthropic или Google и сама отправляет с ним запросы к выбранной модели, поэтому коллеги по команде работают с нейросетью и не видят секрет.

Ключи, которые пользователь добавил прямо на своём компьютере в командной строке или настольном приложении OpenCode, лежат в локальной базе SQLite. Сооснователь компании Дакс Раад заявил, что эти ключи OpenCode не передаются и в утечку не попали.

API-ключ работает как цифровой пропуск к платному сервису. Посторонний с его копией отправляет запросы от имени владельца и тратит чужие деньги, пока доступ не отозвали, а красть для этого банковскую карту не нужно. Расследование продолжается, и компания раскрыла не всё:

• сколько ключей могли получить посторонние;
• были ли ключи скопированы;
• сколько денег успели потратить злоумышленники;
• каким способом атакующий проник в старую систему.

Сотни и тысячи долларов чужих расходов

Пользователи уже сообщают о чужих расходах по своим ключам, хотя подтверждённой статистики ущерба OpenCode не публиковала:

• по данным Dealroom, разработчик Колин Парсонс сообщил о 281 долларе по ключу OpenAI и 168 долларах по ключу Anthropic, которых он не тратил;
• Престон Зеллер оценил свои потери в 1700 долларов;
• по сообщениям Notebookcheck, другие клиенты называли около 400 долларов по Anthropic и примерно 200 евро по Google.

Лимит расходов внутри Console не обязательно защитит владельца украденного ключа. Console считает только обращения, проходящие через её собственный шлюз, а злоумышленник может обратиться к провайдеру напрямую. Поэтому ограничения и уведомления нужно настраивать у поставщика API. Российским командам, которые подключаются к зарубежным моделям через посредников и сторонние сервисы, эту деталь стоит учесть заранее, ведь спорить о чужих списаниях при непрямом доступе к провайдеру труднее.

При чём тут дистилляция моделей

OpenCode связала инцидент с масштабной атакой на дистилляцию моделей, но пока не объяснила, как эти события соотносятся. Дистилляция означает обучение одной системы на ответах более мощной модели. Метод помогает создавать компактные нейросети, которые перенимают отдельные способности крупных, но массовый сбор ответов без разрешения владельца может нарушать условия использования сервиса и съедает чужие вычислительные ресурсы.

В сентябре Anthropic сообщила о кампаниях, в которых связанные с Китаем организации, по оценке компании, использовали поддельные аккаунты и украденные учётные данные для массового получения ответов её моделей. Ключи к моделям интересны не только обычным киберпреступникам, но и тем, кто собирает обучающие материалы в промышленных масштабах. Для OpenCode это пока лишь возможное объяснение, доказательств компания не раскрыла. Скомпрометированный ключ в зависимости от настроек и прав доступа открывает посторонним три возможности:

• тратить бюджет владельца на запросы к моделям;
• пользоваться подключёнными сервисами в своих целях;
• собирать ответы модели для обучения конкурирующей системы.

Атаки продолжались и после обнаружения взлома

18 октября сооснователь OpenCode Дакс Раад сообщил, что злоумышленники атаковали системы компании примерно 48 часов, пока команда усиливала защиту. На момент публикации The Hacker News расследование продолжалось, а OpenCode взаимодействовала с OpenAI, Anthropic и Google для устранения последствий.

Пользователям Console мало удалить старый ключ из интерфейса OpenCode или заменить его новым в рабочем пространстве. Скомпрометированный ключ нужно отозвать в панели управления самого поставщика, а затем пройти по списку:

• создать замену и обновить ключ во всех приложениях и скриптах, где он использовался;
• проверить журнал запросов и начислений как минимум с 16 октября;
• настроить лимиты расходов и уведомления у провайдера;
• обратиться в поддержку платформы, если найдутся неизвестные обращения или списания.

Российским компаниям, которые строят продукты на зарубежных моделях и держат ключи у посредников, этот случай подсказывает завести отдельные ключи на каждый проект и урезать им права до необходимого минимума.

Эксперты CISOCLUB отметили, что посредник, который хранит чужие ключи, превращается в точку концентрации риска, потому что один успешный взлом открывает доступ сразу к учётным данным нескольких поставщиков. Устаревшие системы остаются привычным слабым звеном, ведь забытые сервисы нередко подключены к рабочим данным, но выпадают из регулярных обновлений и аудита. Лимит расходов на стороне посредника не спасает, когда ключ годится для прямых обращений к провайдеру, поэтому ограничения надо ставить у самого поставщика.

Отдельный ключ на каждый проект с минимальными правами сужает ущерб до одного проекта, а плановая ротация сокращает срок, в течение которого украденная копия остаётся рабочей. Всплеск запросов в нерабочее время или из незнакомых регионов служит первым признаком компрометации, и за такими показателями стоит следить автоматически. Порядок отзыва ключей лучше прописать заранее, чтобы реагировать за минуты, а не за дни.

Ранее сообщалось, что Google, Anthropic и OpenAI за одну неделю объявили об обновлениях ИИ-моделей, ориентированных на задачи кибербезопасности. Google представила Gemini 3.8 Flash Cyber, Anthropic выпустила Claude Fable 5.1 и Claude Mythos 5.1, а OpenAI раскрыла некоторые подробности о будущей модели Astra, которая, по заявлению компании, уже достигла уровня критических кибервозможностей. Все три разработчика стремятся научить ИИ эффективнее находить уязвимости в системах защиты, одновременно ограничивая его возможности, чтобы предотвратить появление автономных хакерских инструментов.