Açık kaynaklı yazılım yapay zeka projesi OpenCode, geliştiricilerin Anthropic, OpenAI ve Google gibi üçüncü taraf sağlayıcılarla kullandığı depolanmış API anahtarlarının ifşa olmasına yol açan bir güvenlik ihlali yaşadığını duyurdu. Proje yöneticileri, saldırının OpenCode Console platformu kullanıcılarının yaklaşık %1,4'ünü hedef aldığını ve etkilenen kişilere 17 Ekim 2026 itibarıyla anahtarlarının sızmış olabileceğine dair uyarı e-postaları gönderildiğini açıkladı.
Damıtma saldırıları ve güvenliğe etkileri
OpenCode projesinin kurucu ortağı Dax Raad, saldırganların yapay zeka damıtma (AI Distillation) olarak bilinen saldırılarda yapay zeka ajanlarını kullanarak şirketin sistemlerini en az 48 saat boyunca hedef aldığını doğruladı. Makine öğrenimi modellerinin damıtılması, genellikle daha güçlü modellerin yanıtlarını kullanarak daha küçük modelleri eğitmek için kullanılan meşru bir tekniktir; ancak bu olayda, geniş ölçekli ve yetkisiz sorgulara dayanan bir saldırıya dönüştü.
Soruşturmalar sırasında OpenCode ekibi, kullandıkları yapay zeka modellerinin yerleşik güvenlik kısıtlamaları nedeniyle talepleri reddetmeye başlamasının ardından saldırganları takip etmekte zorlandı. Durum, ancak ekibin savunma amaçlı olarak OpenAI'ın Daybreak siber güvenlik modelini kullanmaya başlamasıyla kontrol altına alınabildi.
Maddi zararlar ve projelerin askıya alınması
İhlal, birçok kullanıcı için doğrudan finansal ve teknik zararlara yol açtı; bunlar arasında şunlar yer alıyor:
- Bazı durumlarda Google Cloud hesaplarında bir gecede 1.700 doları aşan yetkisiz mali faturaların oluşması.
- Google'ın, çalınan kaynakların kullanımıyla uyumlu kötü niyetli faaliyetleri tespit etmesinin ardından bazı kullanıcı hesaplarını ve projelerini askıya alması.
- OpenCode'un, yetkisiz ücretler için etkilenen kullanıcılara tazminat ödeme olasılığını belirtmesi ve şirketin açığı gidermek için büyük model sağlayıcılarıyla iletişimini sürdürmesi.
Bu haber neden önemli?
Bu olay, API anahtarlarının harici yapay zeka platformlarına ve otomasyon ajanlarına bağlanmasıyla ilişkili güvenlik risklerini ve damıtma gibi meşru makine öğrenimi tekniklerinin, kurbanların kaynaklarını tüketen ve hassas kimlik bilgilerini ifşa eden geniş ölçekli saldırılar düzenlemek için nasıl kötüye kullanılabileceğini gözler önüne seriyor.