API-kulcsok kerülhettek illetéktelenekhez az OpenCode Console rendszeréből
OpenAI-, Anthropic- és Google-hozzáférések kerülhettek veszélybe az OpenCode Console szolgáltatásában, ezért az érintetteket kulcsaik azonnali visszavonására szólították fel. A vállalat szerint a felhasználók mintegy 1,4%-át érinthette az október 17-én bejelentett incidens; őket e-mailben értesítették. A helyileg telepített alkalmazásokban tárolt kulcsok nem kerültek veszélybe.
A felhőben tárolt hozzáférések érintettek
Az NKI híre szerint az OpenCode nyílt forráskódú, mesterséges intelligenciát használó programozási eszköz. Többek között az OpenAI, az Anthropic és a Google nyelvi modelljeit támogatja. A hozzá kapcsolódó Console szolgáltatásban a felhasználók központilag tárolhatják saját API-kulcsaikat, amelyekkel elérik az egyes MI-szolgáltatásokat.
A vállalat tájékoztatása kizárólag ezt a felhőalapú rendszert nevezi érintettnek. A helyi parancssoros és asztali alkalmazásokban tárolt hozzáférési adatokra nem terjed ki az incidens.
Váratlan költségekről is beszámoltak
Az API-kulcsok birtokában illetéktelenek a jogosult felhasználó nevében, annak előfizetését terhelve vehetik igénybe az MI-szolgáltatásokat. A biztonsági eseményt követően többen jogosulatlan használatról és váratlan kiadásokról számoltak be.
Egyes beszámolók az Anthropic esetében mintegy 400 amerikai dollár, a Google szolgáltatásánál hozzávetőleg 200 euró értékű, nem engedélyezett felhasználást említenek. Más érintettek akár 1700 dolláros veszteséget jeleztek.
Ezek felhasználói beszámolók: az NKI összefoglalója szerint az OpenCode nem erősítette meg a hozzáférési adatok tényleges eltulajdonítását vagy felhasználását.
A támadás pontos menete még nem ismert
Az OpenCode közleménye egy nagyszabású, úgynevezett modell-desztillációs támadással hozta összefüggésbe az esetet. Ennek során a támadók sok lekérdezéssel gyűjtenek adatokat egy MI-modell működéséről, amelyeket más modellek fejlesztéséhez használhatnak fel.
Az NKI híre nem ismerteti a technikai megvalósítást, az elkövetők kilétét vagy a módszer és az adatszivárgás pontos kapcsolatát. A vizsgálat folyamatban van, a szolgáltató az érintett nagyvállalatok bevonásával dolgozik a biztonsági problémák kezelésén.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum