OpenCode berichtet über Datenleck von 1,4% der Benutzer

OpenCode, eine Open-Source-Programmieragentur, die von Anomaly Innovations betrieben wird, berichtete am Abend des 17. Oktober, dass Angreifer auf ein altes System ihres gehosteten Consoles zugegriffen haben und möglicherweise API-Schlüssel von KI-Anbietern, die in den Arbeitsbereichen der Kunden gespeichert sind, entwendet haben. Laut der Unternehmensmitteilung auf X war der Vorfall von 1,4 % der Nutzer des Consoles betroffen und ist mit dem verbunden, was OpenCode als "großangelegten Destillationsangriff" bezeichnet.

Das Unternehmen gab an, dass "unbefugter Zugriff auf ein altes System, dessen Stilllegung wir eingeleitet hatten, identifiziert wurde". Drittanbieter-Schlüssel, wie die von OpenAI und Anthropic, die im Arbeitsbereich gespeichert wurden, "könnten exponiert worden sein", so die per E-Mail an die Betroffenen gesendete Warnung. OpenCode gibt an, mit Anthropic, OpenAI und Google an einer Lösung zu arbeiten, und erklärt, dass der Vorfall weiterhin andauert. Bis zum Redaktionsschluss wurden keine Berichte über die Ursachenermittlung, eine Liste von Indikatoren für Kompromittierungen oder die absolute Anzahl betroffener Konten veröffentlicht.

Was bedeutet Destillation hier?

Destillation bedeutet, ein kleineres Modell mit den Antworten eines größeren Modells zu trainieren. Unbefugt ausgeführt, erfordert sie Volumen: Millionen von bezahlten Anfragen an ein Spitzenmodell. Gestohlene Schlüssel lösen das Kostenproblem, da die Rechnung auf die Karte desjenigen fällt, der den Schlüssel registriert hat. Nutzer berichteten auf Hacker News von nicht erkannten Verbrauch, und Berichte erwähnen Rechnungen "im Bereich von mehreren hundert Dollar", die für Anfragen erstellt wurden, die die Kontoinhaber nicht getätigt hatten. Ein Entwickler berichtete, dass er in der Nacht Ausgabenwarnungen von OpenAI, Anthropic und Google erhalten hatte; nur Google stellte das Projekt eigenständig ein.

Das Muster hat einen dokumentierten Präzedenzfall. Am 23. Februar beschuldigte Anthropic drei chinesische Labore, Fähigkeiten von Claude über etwa 24.000 betrügerische Konten und mehr als 16 Millionen Interaktionen zu extrahieren, gemäß dem Bericht des Unternehmens. OpenCode hat den aktuellen Angriff nicht einer bestimmten Gruppe zugeordnet, und nichts von dem, was veröffentlicht wurde, verbindet den Fall mit diesen Anschuldigungen. Was sich ändert, ist der Vektor: Anstatt falsche Konten zu erstellen, nutzte der Angreifer legitime Anmeldedaten bezahlender Kunden, was die Erkennung durch die Anbieter erschwert, da der Verkehr von Konten mit sauberer Historie stammt.

Der Umfang hat eine klare Grenze. Entwickler, die OpenCode nur über die Befehlszeile nutzen, mit den Schlüsseln in der lokalen Umgebung, wurden laut dem Unternehmen nicht betroffen. Das Risiko liegt bei denen, die Anmeldedaten im gehosteten Dienst zentralisiert haben, genau dem Modell, das bevorzugt von Unternehmens-Teams verwendet wird, um den Zugang zu teilen und die Kosten zu kontrollieren.

Wo das Problem ankommt

In den USA ist die unmittelbare Rechnung finanzieller und vertraglicher Natur. Die Schlüssel von OpenAI und Anthropic berechnen pro Token, und die meisten Organisationen setzen kein Ausgabenlimit pro Schlüssel. Ein Schlüssel, der für die Destillation verwendet wird, kann innerhalb von Stunden das monatliche Budget eines Teams aufbrauchen. Für börsennotierte Unternehmen ist die nächste Frage, ob die gespeicherten Aufforderungen und Antworten zusammen mit den Schlüsseln proprietären Code oder Kundendaten enthielten, was den Fall vom Finanzbereich zum Risikoausschuss bringen würde.

In Indien kommt der Vorfall zwei Tage nach einer offiziellen Warnung über dieselbe Art von Schwachstelle. Am 15. Oktober veröffentlichte CERT-In eine dringende Mitteilung über KI-Agenten als Angriffsvektor, laut Berichterstattung von Business Standard und Deccan Herald. Der Text beschreibt Agenten, die in die Systeme indischer Organisationen eindrangen, indem sie exponierte Anmeldedaten in Konfigurationsdateien, öffentlichen Repositories und zu permissiven Cloud-Dokumenten ausnutzten, und empfiehlt standardmäßig die Sperrung des Ausgangsnetzwerks. Für die Beratungszentren und GCCs von multinationalen Unternehmen in Bengaluru und Hyderabad, die KI-Tools im Namen globaler Kunden betreiben, kommt dies zu der Regel von 2022 hinzu, laut der CERT-In eine Vorfallmeldung innerhalb von sechs Stunden erfordert.

In Brasilien durchläuft die Exposition dieselben Softwarefabriken und Shared Services-Operationen, die 2026 Agenten-Code angenommen haben. Wenn der Arbeitsbereich persönliche Daten in Aufforderungen speicherte, legt die Resolution 15/2024 der ANPD eine Frist von drei Werktagen für die Meldung relevanter Vorfälle fest.

Die Frage an den CISO

OpenCode ist keine Ausnahme. Plattformen von Agenten, die Schlüssel von verschiedenen Anbietern an einem Ort speichern, sind zu einem einzigen Tresor für Anmeldedaten geworden, die zuvor verstreut waren. Die sofortige Empfehlung des Unternehmens besteht darin, die Schlüssel zu widerrufen und neu zu erstellen sowie die jüngste Nutzung zu überprüfen. Die schwierigste Frage für Käufer dieser Werkzeuge ist eine andere: Wie viele Drittanbieter halten heute einen API-Schlüssel für KI der Organisation, und wie viele betreiben noch ein System, das der Anbieter bereits hätte abstellen wollen.