Włamanie do OpenCode pokazuje, że klucz do modelu bywa cenniejszy niż sam model
Najpoważniejszym nowym faktem po stronie bezpieczeństwa jest incydent, który rozegrał się w nocy z piątku na sobotę i został potwierdzony publicznie w sobotę wieczorem. Firma OpenCode, rozwijająca otwartego agenta programistycznego o dwustu ośmiu tysiącach gwiazdek w serwisie GitHub i szesnastu milionach deweloperów miesięcznie, poinformowała, że nieuprawniona osoba weszła do starego systemu konsoli, który był właśnie wygaszany, i zabrała klucze zewnętrznych dostawców modeli zapisane w przestrzeniach użytkowników. Chodzi o klucze do OpenAI, Anthropic i Google, czyli te, którymi klienci sami płacą za wywołania modeli. Skala podana przez firmę to jeden i cztery dziesiąte procenta użytkowników konsoli, przy czym dotyczy to wyłącznie podzbioru tych, którzy podłączyli własnych dostawców.
Przebieg dnia pokazuje, kto dowiedział się pierwszy. Jak wynika z relacji zebranej przez serwis CellCog, powiadomienie dla klientów trafiło na forum Reddit przed szesnastą czasu polskiego, a pierwsze skargi dotyczyły alertów o wydatkach, które rozdzwoniły się użytkownikom w nocy. Jeden z użytkowników opisał, że alerty zadziałały jednocześnie w OpenAI, Anthropicu i Google, ale tylko Google sam zawiesił projekt z powodu podejrzanej aktywności, a współzałożyciel firmy Dax Raad podsumował dzień zdaniem o nowym świecie, w którym hakowanie też jest napędzane modelami.
Sformułowanie, którego użyła firma, jest najbardziej nośne i najsłabiej udokumentowane zarazem. OpenCode nazwał zdarzenie atakiem destylacyjnym na dużą skalę i poinformował, że pracuje nad naprawą z Anthropicem, OpenAI i Google. Destylacja to trenowanie mniejszego modelu na odpowiedziach większego, a laboratoria traktują ją jako kradzież. Anthropic podał w lutym, że trzy laboratoria przeprowadziły ponad szesnaście milionów wymian z Claude'em przez około dwadzieścia cztery tysiące fałszywych kont, a dwunastego października poinformował, że nowe zabezpieczenia zmniejszyły ilość pozyskiwanych w ten sposób danych o około dziewięćdziesiąt do dziewięćdziesięciu dziewięciu procent. Logika, którą podsuwa ten opis, jest prosta: prawdziwy klucz klienta jest kontem, którego nie da się podrobić, bo jest zweryfikowany, ma historię i płaci, więc ruch wygląda zwyczajnie, a rachunek trafia do kogoś innego. OpenCode nie potwierdził jednak takiego mechanizmu i nie podał, o jakie modele chodzi, ile kluczy użyto ani ile wydano.
Granice wiedzy trzeba tu oddzielić od narracji. Faktem potwierdzonym przez firmę jest wtargnięcie do wygaszanego systemu, wyciek kluczy u podzbioru klientów i prowadzone dochodzenie. Faktem potwierdzonym przez użytkowników są alerty o wydatkach i samodzielne zawieszenie projektu przez Google. Nieznana jest podstawa procentu, bo OpenCode nie publikuje liczby użytkowników konsoli, więc jeden i cztery dziesiąte procenta nie da się przeliczyć na ludzi. Nie ma też pełnego raportu powłamaniowego, numeru podatności ani łatki, bo problem dotyczył starego systemu, a nie wydanej wersji agenta, i nikt nie powiedział, czy dostawcy zwrócą obciążenia. To ostatnie pytanie jest w praktyce najważniejsze dla klientów, bo określa, kto płaci za cudzy ruch.
Wniosek dla organizacji, które uruchamiają agentów na własnych kluczach, nie zależy od tego, jak sprawa się skończy. Model "przynieś własny klucz" przenosi ryzyko na klienta i zarazem odbiera mu jedyne narzędzie wczesnego ostrzegania, jakim jest jego własny rachunek. Z tego wynikają trzy czynności, które nie są kosztowne: rotacja kluczy przechowywanych w narzędziach zewnętrznych, osobny klucz na każde obciążenie zamiast jednego do wszystkiego oraz twardy limit wydatków ustawiony u dostawcy, a nie w aplikacji. Różnica między Google a dwoma pozostałymi dostawcami pokazuje przy tym coś, czego nie załatwi umowa: automatyczne wykrywanie anomalii po stronie dostawcy działa nierówno, więc nie można na nim polegać jako na jedynej kontroli.