Уязвимость в открытом коде может затронуть ИТ-гигантов

Нарушение безопасности у провайдера OpenCode, предоставляющего фреймворк для создания ИИ-агентов с открытым исходным кодом, могло привести к компрометации API-ключей, связанных с эксплуатацией моделей от Anthropic, OpenAI и Google.

Как отметили в компании, инцидент затронул сервис Console, который позволяет рабочим группам совместно использовать доступ к LLM. Вместо того чтобы предоставлять отдельные ключи каждому участнику команды, сервис хранит учётные данные для каждого рабочего пространства и задействует их при аутентификации запросов к соответствующим провайдерам.

OpenCode — популярная платформа для разработки ИИ-агентов, предназначенная для программистов; на GitHub проект набрал 217 тысяч «звёзд». В интервью, данном в июле 2026 года организации Y Combinator, основатель и гендиректор проекта Джей Ви сообщил, что ежемесячная аудитория OpenCode достигла примерно 13 млн активных пользователей, а еженедельная — 4,6 млн.

Как указано в разосланном имейле, инцидент был «связан с масштабной атакой типа "дистилляция" (distillation attack), коснувшейся 1,4% резидентов OpenCode Console». Сотрудники выявили «несанкционированный доступ к устаревшей системе, которая находилась в процессе вывода из эксплуатации», потенциально повлекший компрометацию «ключей сторонних провайдеров». Компания OpenCode также уведомила Anthropic, OpenAI и Google о сбое, чтобы согласовать меры по устранению проблемы.

Усам Оздемиров