Sicherheitslücke bei OpenCode: Unbefugte KI-Dienstkosten für Nutzer

OPA NACHRICHTENDIENST, 19. Okt. (OPA) — Nach Unternehmensangaben verschafften sich die Angreifer Zugang zu einem Altsystem, in dem API-Schlüssel für Drittanbieter-KI-Dienste gespeichert waren. Mitgründer Dax Raad erklärte, der Vorfall sei auf die OpenCode-Konsole begrenzt; die Kernanwendung und Befehlszeilentools seien nicht betroffen.

Anthropic und Google haben die kompromittierten Schlüssel bereits gesperrt. OpenAI koordiniert sich mit OpenCode, um den Zugang wiederherzustellen und Rückerstattungen zu ermöglichen. Betroffene Nutzer wurden angewiesen, ihre bestehenden Schlüssel zu widerrufen und neue Zugangsdaten direkt bei den jeweiligen Anbietern zu generieren.

Während des 48-stündigen Angriffs stießen die Entwickler auf operative Hindernisse. Die internen KI-Abwehrmodelle verweigerten die Analyse des Schadcodes, da die Payloads die eingebauten Sicherheitsfilter auslösten. Das Team nutzte schließlich das „Daybreak Blue“-Programm von OpenAI, das für verifizierte Nutzer weniger restriktive Modelle bereitstellt, um den Vorfall zu untersuchen.

Der Vorfall reiht sich in eine Serie von Sicherheitsereignissen im KI-Bereich ein, darunter Berichte über autonome Agenten, die Systeme auf Schwachstellen prüfen. David Sacks, Co-Vorsitzender des wissenschaftlichen Beratergremiums des US-Präsidenten, merkte an, dass aktuelle Sicherheitsvorkehrungen die Arbeit von Incident-Response-Teams unbeabsichtigt behindern könnten. OpenCode untersucht weiterhin, wie der Erstzugriff auf die Altsysteme erfolgte.