OpenCode Console: API-lyklar útsettir hjá 1,4% notenda

Í frétt BleepingComputer kemur fram að innbrot í OpenCode Console hafi sett geymda API-lykla ytri líkanaveitna í hættu hjá 1,4% Console-notenda; fyrsta mögulega útsetning þeirra var 17. október 2026 klukkan 00:30 UTC. Óheimili aðgangurinn náði að eldra kerfi sem verið var að taka úr notkun. Viðkomandi notendum var sent viðvörunarbréf, en heildarfjöldi Console-notenda hefur ekki verið birtur og því verður hlutfallinu ekki breytt í fjölda fólks eða reikninga.

Áhættan varðar þá sem vistuðu lykla frá ytri líkanaveitum í hýstu vinnusvæði Console. Notendur hafa lýst óvæntum API-gjöldum eftir atvikið. Í frétt TechCrunch segir Dax Raad, einn stofnenda OpenCode, um afmörkunina: „Note this is the OpenCode Console, not OpenCode itself, those keys never come to us“; þar kemur einnig fram að Anthropic og Google hafi lokað lyklum sem þau töldu útsetta og að OpenAI hafi unnið að endurheimt aðgangs og endurgreiðslu vegna notkunar í árásinni. Eigandi hvers reiknings þarf samt að kanna eigin lykla og gjöld, því aðgerðir veitnanna beindust að þeim lyklum sem þær töldu verða fyrir áhrifum.

Tímalína innbrotsins og tilkynningarinnar

Atvikið varð aðfaranótt þess dags sem viðvörunin var send. Í bréfinu til viðkomandi notenda var möguleg útsetning lykla rakin aftur til fyrrgreinds tímamarks, en orðalagið um lyklana var varfært: þeir gætu hafa verið afhjúpaðir. Fyrir rannsóknina skiptir máli hvort tiltekinn lykill hafi verið lesinn eða notaður; fyrir öryggi reikningsins nægir möguleg útsetning til að afturkalla hann.

Árásinni var lýst sem stórfelldri eimingu líkana. Eiming felur í sér að svör eins líkans eru nýtt til að þjálfa annað; óheimilar beiðnir með lykli annars aðila geta því bæði skapað kostnað og safnað svörum. Sú lýsing segir ekki hvernig aðgangur fékkst að eldra kerfinu. Aðgangsleiðin og heildarumfang misnotkunar hafa ekki verið birt með þeim upplýsingum sem liggja fyrir.

Geymsla í Console ræður því hvaða lykla þarf að skoða

Leiðbeiningar OpenCode um tengdar veitur lýsa því að Console geymi aðgangslykil sem eigandi vinnusvæðis setur inn og sendi beiðnir til veitunnar um sína gátt. Meðlimir vinnusvæðis geta þá notað virk líkön án þess að sjá lykilinn sjálfan, en veitan rukkar eiganda reikningsins fyrir notkunina. Hýsta vinnusvæðið varðveitir þannig leyndarmál sem veitir aðgang að annarri þjónustu.

Staðbundin OpenCode-notkun er önnur vörsluleið. Uppsetning forritsins á eigin tölvu ein og sér setti staðbundna lykla ekki í sama hóp og þá sem vistaðir voru í Console. Sá sem bæði notar staðbundna forritið og hefur vistað lykil í Console þarf hins vegar að meta þann vistaða lykil út frá tilkynningunni, óháð því hvar beiðnirnar voru venjulega sendar.

Takmörkun á því hvaða líkön meðlimir vinnusvæðis mega velja ver ekki endilega reikninginn ef hrátt afrit af lykli kemst út. Ef veitan tekur við lyklinum beint getur beiðni farið fram hjá stillingum Console. Sama gildir um það að fjarlægja tengingu úr vinnusvæði: það breytir aðgangi í Console, en gerir ekki sjálfkrafa ógilt afrit af lykli sem enn er virkur hjá útgefandanum.

Afturköllun, reikningar og atviksgögn

Viðbrögðin hefjast hjá útgefanda hvers lykils sem vistaður var í viðkomandi vinnusvæði. Fyrst þarf að bera tilkynninguna saman við eiganda vinnusvæðisins og skrá hvaða veitureikningar og lyklar voru tengdir því. Póstur til eins stjórnanda segir ekki sjálfkrafa til um allar aðrar tengingar sama teymis; skoða þarf þær heimildir sem vinnusvæðið hafði í raun geymt.

Afturkallið eða gerið gömlu lyklana ógilda hjá viðkomandi veitu og búið þar til nýja. Að breyta skráðum lykli í Console lokar ekki á afrit sem hugsanlega hefur þegar verið tekið. Athugið hvort sami gamli lykill sé notaður í öðrum forritum eða sjálfvirkum verkum og uppfærið þau.
Skoðið notkun og gjöld beint hjá veitunni frá mögulegu upphafi útsetningar. Berið saman tímastimpla, magn beiðna, val á líkönum og önnur tiltæk auðkenni við eigin rekstur. Skrár Console einar geta ekki sýnt beiðnir sem sendar voru beint til veitunnar með afrituðum lykli.
Varðveitið notkunaryfirlit, auðkenni grunsamlegra beiðna, kostnaðarviðvaranir og reikningsyfirlit meðan rannsókn stendur. Ekki afrita sjálft leyndargildi lykils í atvikamiða eða samskipti við þjónustuver. Þessi gögn hjálpa við að aðgreina eigin notkun frá óheimilum beiðnum og ræða hugsanleg gjöld við veituna.

Ef veitan hefur sjálf lokað lykli þarf engu að síður að staðfesta hvaða lykill var ógiltur og hvort ný heimild sé komin á rétta staði. Ef óþekkt notkun eða takmörkun á verkefni birtist er næsta skref að senda veitunni tímastimpla og auðkenni beiðna. Frásagnir um endurgreiðslur og endurheimtan aðgang lýsa viðbrögðum við tilteknum reikningum, ekki sjálfvirkri niðurstöðu fyrir hvern þann sem fékk viðvörun.

Hlutfallið og fjárhagslegt umfang

Tilkynnta hlutfallið afmarkar hóp innan Console, en segir ekki hversu margir lyklar voru vistaðir þar. Einn reikningur getur tengst fleiri en einni veitu eða haft fleiri en eina heimild; fjöldi notenda, fjöldi lykla og fjöldi rukkaðra beiðna eru því ólíkir mælikvarðar. Einstakar frásagnir af háum gjöldum má heldur ekki leggja saman og kalla heildartjón án heildartalna frá veitunum eða OpenCode.

Fyrir teymi sem fékk viðvörun er afdrif hvers lykils skýrasta næsta staðreyndin: hvort útgefandinn hafi ógilt hann, hvort óþekktar beiðnir hafi komið fram og hvort aðgangur að nauðsynlegri þjónustu virki með nýjum lykli. Frekari upplýsingar um aðgangsleiðina og fjölda útsettra heimilda myndu skýra umfang atviksins, en þær þurfa ekki að liggja fyrir áður en mögulega útsettir lyklar eru afturkallaðir.

Lestu einnig: