OpenCode допустил утечку API-ключей: разработчики требуют объяснений

В конце октября в сообществе разработчиков разгорелся нешуточный скандал вокруг популярного ИИ-инструмента для программирования OpenCode. Как выяснилось, платформа, которую многие воспринимают как надёжного «напарника» по коду, допустила утечку чужих API-ключей — и теперь пользователи по всему миру подсчитывают убытки, а заодно задаются неудобным вопросом: кто вообще способен защитить данные в эпоху, когда искусственный интеллект ускоряет всё, включая атаки.

История началась с того, что 18 октября сразу несколько разработчиков пожаловались в Reddit и соцсети X на странную активность в своих аккаунтах. Через онлайн-сервис Console, который OpenCode использует для хостинга сторонних API-ключей к большим моделям, неизвестные получили доступ к учётным данным и принялись тратить чужие деньги. Один из пострадавших рассказал, что за одну ночь с его счёта в OpenAI списали 1700 долларов. В списке затронутых оказались ключи к моделям OpenAI, Anthropic и Google — то есть к самым востребованным инструментам на рынке.

Представители OpenCode факт инцидента признали, но объяснение вышло довольно расплывчатым: мол, всему виной «масштабная дистилляционная атака». Компания пообещала вернуть деньги пострадавшим и наладить взаимодействие с Anthropic, OpenAI и Google, чтобы закрыть брешь. Однако разработчики такой ответ не приняли. В сообществе уже несколько дней кипят обсуждения: люди требуют раскрыть детали произошедшего, указывают на невнятность формулировок и подозревают, что компания просто перекладывает ответственность на загадочную «дистилляцию», вместо того чтобы честно рассказать, как именно утекли ключи.

Чтобы понять масштаб проблемы, стоит вспомнить, чем вообще привлекает OpenCode. Это один из самых заметных инструментов в нише ИИ-ассистентов для программирования: он позволяет читать, править, тестировать и запускать код. Формально проект бесплатный и открытый, но основной заработок идёт как раз с платных онлайн-сервисов вроде Console и Zen, где пользователи пополняют баланс и платят за фактический расход моделей. Разработчик из Сингапура, ранее пользовавшийся OpenCode, объясняет: для проектов, выросших из открытого сообщества, сам агент — это скорее оболочка, а главная ценность в свободе переключаться между разными моделями и в экосистеме плагинов. Именно на этом OpenCode и строил продвижение: не хочешь сам искать модель и возиться с ключами — пополняй счёт на платформе и пользуйся отобранными топовыми моделями с оплатой по факту. Были и совсем агрессивные схемы привлечения: пользователям предлагали загрузить собственный API-ключ от стороннего аккаунта и превратить его в общий, доступный другим, — что-то вроде маленького перевалочного пункта.

Такой подход, по словам собеседника, неизбежно упирается в безопасность. Дешёвые и удобные «модельные шлюзы» и краткосрочные эксперименты с общими ключами привлекают аудиторию, но надёжно защитить такую схему крайне сложно. А всплеск популярности OpenCode перед инцидентом был связан в том числе с щедрым жестом: 10 сентября компания DeepSeek выпустила модель DeepSeek-V4.1-Flash и объявила OpenCode, а также WorkBuddy и CodeBuddy от Tencent официальными партнёрами, полностью подключёнными к новинке. 15 октября OpenCode и вовсе открыл бесплатный доступ к этой модели на ограниченное время — без списания квоты из пользовательских тарифов.

Дальше начинается самое интересное — спор о том, кто виноват. В обсуждениях часто звучит знакомая мантра: «суть кибербезопасности не изменилась, главный ответственный — сам пользователь». Мол, раздаёшь права направо и налево, передаёшь ключи, оставляешь порты открытыми — не удивляйся последствиям. Но в эпоху ИИ такая логика всё чаще выглядит устаревшей. Инженер одной из компаний, разрабатывающей продукты для ИИ-ревью кода, отмечает: когда персональные и корпоративные агенты разворачиваются массово, среда меняется радикально. Чтобы агент мог самостоятельно править код и гонять тесты, разработчику приходится выдавать ему системные права. Отказаться — значит добровольно лишиться преимуществ, ведь конкуренты с ИИ ускоряют разработку в разы. Но чем шире права агента, тем масштабнее потенциальный ущерб: если инструмент подтолкнуть вредоносной инструкцией или взломать среду его работы, атакующий получит легальные полномочия для неожиданных действий. Причём атаковать могут и сами агенты — им это порой даже удобнее, чем людям.

В недавнем отчёте о безопасности данных ИИ-агентов аналитики Nightfall AI прямо говорят: двадцать лет системы защиты от утечек строились на допущении, что данные перемещает человек, и традиционные инструменты отслеживали именно людские действия. Агент с правами сам вызывает инструменты и гоняет данные между системами на машинной скорости — и классические средства просто не видят, как информация уходит: ни загрузки, ни вставки в буфер, а данные уже перемещены. Добавьте к этому эффект бочки: атакующему достаточно найти самое слабое звено. И хотя ИИ усиливает и оборонительные возможности — проверки безопасности и пентесты ускоряются, — скорость обновления защитных механизмов всё равно отстаёт от темпа обновления атак. Есть и тревожная цифра: если полностью доверить ИИ оценку уязвимостей, доля пропущенных критических дыр может достигать 82,4 процента. Зато хакерам агенты позволяют массово, автоматизированно и без перерывов искать слабые места — и это заметно упрощает им жизнь.

Отсюда и растущая популярность «учений» — симуляций атак и red team-упражнений, призванных перехватить инициативу у злоумышленников. Но и здесь не всё гладко: решения класса BAS опираются на заранее заданные сценарии и не воспроизводят неизвестные логические дыры в бизнес-процессах или социальную инженерию. В новых и сложных сценариях они по-прежнему не поспевают за атакующими. Наиболее разделяемый отраслью подход — «шлюзы действий» и динамические цепочки делегирования, то есть чёткое определение границ полномочий и правил поведения для агентов. Однако экосистема агентов растёт экспоненциально, сценариев подключения становится всё больше, и защитные меры вынуждены догонять изменения. Эта гонка кибервооружений в эпоху ИИ обещает быть куда жёстче, чем раньше, — и история с OpenCode, похоже, лишь первый громкий звонок.