Hardware Ready Ready to Bench?
OpenCode hat bestätigt, dass ein Angriff im Zusammenhang mit einem System zur Destillation von KI-Modellen stattfand, bei dem API-Schlüssel für OpenAI, Anthropic und Google gestohlen wurden. Der Vorfall betraf 1,4 % der Nutzer der Plattform Console, die per E-Mail informiert wurden, während die Ermittlungen noch andauern.
Das Unternehmen, das eine auf KI basierende agentische Coding-Plattform betreibt, machte den Vorfall am Morgen des 17. Oktober in einer öffentlichen Mitteilung bekannt und beschrieb den Angriff als „Destillation im großen Maßstab“. Betroffen war ein spezifischer Teil der Nutzer, die externe KI-Anbieter wie OpenAI, Anthropic und Google mit ihrem OpenCode-Konto verknüpft hatten. Nicht betroffene Nutzer erhielten keine Kommunikation.
OpenCode API-Schlüssel: Warum das wichtig ist
Laut Angaben erfolgte der Eindringversuch über den unbefugten Zugriff auf ein Legacy-System, das OpenCode außer Betrieb nehmen wollte. In diesem System wurden API-Schlüssel aus den Workspaces der Nutzer abgerufen – Zugangsdaten, die normalerweise verwendet werden, um Anfragen an die Modelle der Drittanbieter weiterzuleiten, ohne jedes Mal neue Authentifizierungstokens eingeben zu müssen.
Ein Destillierungsangriff nutzt den fremden Zugriff auf ein großes KI-Modell aus, um dessen Antworten massenhaft zu sammeln, oft mit dem Ziel, ein Konkurrenzmodell zu nahezu null Kosten zu trainieren. Wer Opfer eines solchen Angriffs wird, finanziert unfreiwillig das Training eines rivalisierenden Systems, da jede Abfrage, die mit einem gestohlenen Schlüssel generiert wird, an den rechtmäßigen Inhaber der Zugangsdaten in Rechnung gestellt wird.
Mehrere OpenCode-Nutzer meldeten in den Stunden nach der Offenlegung des Vorfalls ungewöhnliche Ausgabenwarnungen und unerwartete Belastungen auf Schlüsseln, die ausschließlich innerhalb der Plattform verwendet wurden. In einigen Fällen stiegen diese Kosten aufgrund wiederholter Abfragen an Hochleistungsmodellen auf mehrere hundert Dollar.
OpenCode erklärte, dass man mit Anthropic, OpenAI und Google zusammenarbeite, um den Vorfall zu bearbeiten, hat aber noch nicht geklärt, wie die durch den betrügerischen Gebrauch der Schlüssel entstandenen Belastungen behandelt werden. Das Unternehmen präzisierte zudem, dass es solange keine weiteren technischen Details liefern könne, wie die Ermittlungen andauern – eine nachvollziehbare Entscheidung aus ermittlungstechnischer Sicht.
Was sich ändert und welche Auswirkungen das hat
Betroffene Nutzer werden aufgefordert, ihre API-Schlüssel bei jedem Anbieter zu widerrufen und zu ersetzen, den Verbrauch seit dem 16. Oktober zu überprüfen und, wo möglich, Ausgabenlimits und automatische Warnungen einzurichten, um weitere wirtschaftliche Schäden zu verhindern. Diese Verantwortung liegt vollständig bei den Nutzern, während noch unklar ist, wie gut die Infrastruktur von OpenCode tatsächlich auf ein solches Szenario vorbereitet war.
Das Unternehmen stellte klar, dass Nutzer, die nicht vom Vorfall betroffen sind, keine Kommunikation erhalten haben und dass die Ermittlungen weiterhin laufen. OpenCode arbeitet mit den KI-Anbietern zusammen, um die Situation zu managen, jedoch wurden bislang keine Details dazu geliefert, wie die Kosten aus der missbräuchlichen Nutzung der API-Schlüssel abgewickelt werden.
Quelle und weiterführende Informationen zu OpenCode API-Schlüssel: Originalartikel.
* Inhalt erstellt mit Unterstützung von Systemen der künstlichen Intelligenz.