Një ndërhyrës hyri në një sistem të vjetër të OpenCode natën e 16 tetorit, duke ekspozuar potencialisht çelësat API të ruajtur në shërbimin opsional OpenCode Console. Sipas kompanisë, preken 1.4% e përdoruesve të Console, të gjithë me ofrues të jashtëm të lidhur. Ata u njoftuan me email më 17 tetor që t’i revokonin dhe zëvendësonin çelësat pranë ofruesve.
Console u lejon ekipeve të përdorin modelet pa parë çelësin e ruajtur. Rreziku lidhet vetëm me çelësat e vendosur aty, jo me ata që aplikacionet desktop dhe të linjës së komandës ruajnë lokalisht në SQLite. Sipas OpenCode, përdoruesit që nuk morën email nuk janë prekur.
Kushdo që zotëron një kopje të çelësit mund të kryejë kërkesa me pagesë në llogarinë e pronarit deri në revokimin e tij. Fshirja nga Console nuk e çaktivizon çelësin; as buxheti i Console nuk kufizon përdorimin jashtë portës së tij. Disa përdorues raportuan shpenzime të paautorizuara, por kompania nuk ka konfirmuar se çelësat janë kopjuar apo përdorur.
Më 17 tetor, OpenCode tha se incidenti vazhdonte dhe se po punonte me Anthropic, OpenAI dhe Google. Kompania e lidhi me një sulm në shkallë të gjerë për distilimin e modeleve, pa shpjeguar lidhjen apo mënyrën e hyrjes. Bashkëthemeluesi Dax Raad tha më 18 tetor se përpjekjet për sulm kishin vazhduar pa ndërprerje për 48 orë.
Burimi: The Hacker News — lexoni artikullin e plotë në anglisht.
