Terminal tabanlı açık kaynaklı kodlama ajanı OpenCode, Console kullanıcılarının yüzde 1,4'ünü etkileyen bir güvenlik ihlali yaşadığını doğruladı. Şirkete göre bu kullanıcıların harici yapay zekâ sağlayıcısı bağlamış bir bölümünde, sistemde saklanan OpenAI, Anthropic ve Google anahtarları sızmış olabilir. OpenCode olayı, büyük ölçekli bir damıtma saldırısı olarak nitelendirdiği bir saldırıyla ilişkilendiriyor.
OpenCode, ihlali 17 Ekim'de X hesabından duyurdu ve olayın bir önceki gece yaşandığını söyledi. OpenCode'un arkasındaki Anomaly Innovations, etkilenen kullanıcıları e-postayla bilgilendirdi. Şirket, bütün etkilenen kullanıcılara bildirim gönderdiğini, e-posta almayanların ihlalden etkilenmediğini açıkladı.
Saldırgan devreden çıkarılan eski Console sistemine erişti
Şirketin bildirimine göre yetkisiz erişim, kullanımdan kaldırılma sürecindeki eski bir Console sistemi üzerinden gerçekleşti. Console, geliştiricilerin harici yapay zekâ sağlayıcılarını bağlamasına ve OpenCode'un bu modelleri geliştiricinin kendi kimlik bilgileriyle çağırmasına imkân veriyor. Risk bu nedenle Console'da sağlayıcı anahtarı saklayan kullanıcılarda yoğunlaşıyor. OpenCode'u yalnız komut satırı aracı üzerinden kullanan ve anahtarlarını kendi yerel ortamında tutan geliştiriciler etkilenmedi.
OpenCode bir sohbet botu değil, geliştiricinin kimlik bilgileriyle çalışan, dosyaları okuyan ve harici API'leri çağıran bir kodlama ajanı. Haziran 2025'te kullanıma sunulan araç, en yaygın kullanılan açık kaynaklı kodlama ajanlarından biri haline geldi ve GitHub'da 150 binin üzerinde yıldız topladığı belirtiliyor. Bu kullanım biçimi, sızan bir sağlayıcı anahtarının başkasının adına model çağrısı yapmak için kullanılabilmesi anlamına geliyor.
Kullanıcılar bağlı hesaplarda beklenmeyen harcama bildiriyor
Bazı kullanıcılar, OpenCode'a bağladıkları yapay zekâ hesaplarında onaylamadıkları harcamalar gördüklerini aktarıyor. Bir kullanıcı Anthropic hesabında 400 dolarlık bir ücret çıktığını, bir başkası ise Google kullanım ücretlerinin yaklaşık 200 euroya ulaştığını bildirdi. Bu tutarlar kullanıcıların kendi hesaplarına ilişkin beyanları olup ihlalin toplam mali etkisini göstermiyor.
Etkilenen kullanıcılardan anahtarlarını yenilemeleri istendi
OpenCode, etkilenen kullanıcılardan sağlayıcı anahtarlarını iptal edip yenileriyle değiştirmelerini ve bu anahtarları kullanan uygulamalarla otomatik işleri güncellemelerini istedi. Eski anahtar iptal edildiğinde, ele geçirilmiş olsa bile sağlayıcı hesabına yeni çağrı yapmak için kullanılamıyor. Anomaly Innovations, olayın giderilmesi için Anthropic, OpenAI ve Google ile birlikte çalıştığını açıkladı.
