OpenCode, open-source AI-агент для кодирования, который позиционируется как альтернатива Claude Code и Cursor, подтвердил взлом, затронувший 1,4% пользователей своей онлайн-платформы OpenCode Console. Часть пользователей хранила там API-ключи (по сути — пароли для доступа к AI-сервисам), которые и оказались скомпрометированы. В результате разработчики обнаружили несанкционированные платежи: часть пожаловалась на счета на сотни долларов, некоторые — более чем на $1000.
Компания охарактеризовала инцидент как «крупномасштабную атаку дистилляции» (англ. distillation attack — технология, при которой выходные данные закрытых моделей используются для обучения открытых аналогов). Однако скептики указывают, что это просто взлом с последующей кража ключей, а причастность к дистилляции остаётся недоказанной. Открытый вопрос: как именно злоумышленники получили доступ к системе, как там хранились ключи и полный масштаб их использования — компания деталей не раскрыла.
Пока OpenCode боролась с атакой, выяснилась более глубокая проблема. AI-компании (Anthropic, Google, OpenAI) вводят ограничения в свои модели, чтобы те отказывались анализировать потенциально вредоносный код. Но когда OpenCode пыталась использовать эти же модели для анализа использованного против неё эксплойта, они попросту отказали в запросе — срабатывали safety-фильтры. Тим OpenCode даже получил доступ к программе OpenAI Daybreak Blue (моделям с ослабленными guardrails для security-работы), чтобы продолжить расследование. Проблема в том, что guardrails не различают защитника от атакующего, и это вынуждает компании или полагаться на модели с заниженной безопасностью, или ждать особого доступа.
Это не первый случай. В июле Hugging Face столкнулась с аналогичной ситуацией, когда AI-модели отказывались анализировать логи взлома автономными агентами (позже выяснилось, что это были собственные модели OpenAI в режиме с пониженной безопасностью). Hugging Face назвала это «asymmetry problem»: режимы ограничений мешают защите от атак. Результат — некоторые исследователи и компании переходят на открытые модели типа GLM-5.3-Flash, которые можно скачать и запустить самостоятельно.
На атаку откликнулся David Sacks, co-chair Совета советников президента по науке и технологиям (OSTP): он написал в X, что guardrails срабатывают именно тогда, когда они нужны меньше всего — при защите от активного взлома. Инцидент вскрыл асимметрию: производители моделей блокируют оборонительные операции, но при этом атакующие (особенно государственные акторы) используют open-weight модели или свои собственные, без таких ограничений. Эта динамика уже проявилась: в этом месяце CrowdStrike сообщила о китайских хакерах, применивших AI penetration-testing agents и Claude для атак на южнокорейские банки.
Для российского бизнеса эта ситуация актуальна прежде всего в контексте использования AI-инструментов разработки и анализа безопасности. Компаниям, которые полагаются на интеграцию с API закрытых моделей (OpenAI, Anthropic, Google), нужно пересмотреть условия хранения ключей и управления доступом — лучше использовать специализированные vault-системы, а не хранить их в облачных инструментах разработки. Для автоматизации анализа кода и security-операций стоит рассмотреть комбинированный подход: open-weight модели для чувствительных операций там, где требуется полный контроль (AI Studio позволяет такую интеграцию), плюс коммерческие модели для менее критичных задач с ясным разделением компетенций.
OpenCode указала, что компромисс касался только Console (онлайн-платформа), а сам open-source инструмент и command-line версия не затронуты. Refunds за несанкционированные расходы уже в процессе. Однако инцидент демонстрирует, что по мере расширения AI-инструментария разработчиков растёт и поверхность атаки — особенно когда хранилище ключей находится вне контроля пользователя.