सुरक्षा · 22 अक्टूबर 2026
OpenCode कंसोल में सेंधमारी से OpenAI, Anthropic और Google की एपीआई कुंजियाँ उजागर होने की आशंका
OpenCode के एक पुराने सिस्टम में एक घुसपैठिये ने सेंध लगाई है, जिससे OpenCode कंसोल में उपयोगकर्ताओं द्वारा सहेजी गई तीसरे पक्ष के कृत्रिम बुद्धिमत्ता प्रदाता की कुंजियाँ उजागर हो सकती हैं। कंपनी ने बताया कि यह घटना 16 अक्टूबर की रात को हुई।
कंसोल OpenCode की एक वैकल्पिक होस्टेड सेवा है। इसमें एक कार्यक्षेत्र अपनी OpenAI, Anthropic या Google कुंजी सहेजता है, और कंसोल उस कुंजी का उपयोग प्रदाता को कॉल करने के लिए करता है ताकि टीम के सदस्य कुंजी देखे बिना मॉडल का उपयोग कर सकें। इस घटना से कंसोल के 1.4 प्रतिशत उपयोगकर्ता प्रभावित हुए हैं, जिन्होंने बाहरी प्रदाता को लिंक किया था। OpenCode ने इन उपयोगकर्ताओं को ईमेल के माध्यम से सूचित किया है कि वे प्रत्येक प्रदाता के साथ उन कुंजियों को रद्द करें और उन्हें बदलें।
यह ईमेल 17 अक्टूबर की सुबह "कार्रवाई आवश्यक: संभावित प्रदाता कुंजी उल्लंघन" विषय के साथ भेजा गया था। कंपनी ने स्पष्ट किया कि जिन लोगों को ईमेल नहीं मिला, वे प्रभावित नहीं हुए हैं। जोखिम में केवल वही कुंजियाँ हैं जिन्हें कंसोल में पेस्ट किया गया था। OpenCode के कमांड लाइन और डेस्कटॉप ऐप प्रदाता कुंजियों को मशीन में एक SQLite डेटाबेस में रखते हैं। कंपनी के सह-संस्थापक ने कहा कि यह उल्लंघन OpenCode कंसोल से संबंधित है, न कि स्वयं OpenCode से, और वे कुंजियाँ कंपनी के पास नहीं आती हैं।
एक प्रदाता कुंजी एक बियरर क्रेडेंशियल होती है, जिसका अर्थ है कि जिसके पास भी इसकी प्रति है, वह प्रदाता द्वारा इसे रद्द करने तक मालिक के खाते पर बिल योग्य अनुरोध चला सकता है। कंसोल से कुंजी हटाने से वह रद्द नहीं होती है, और कंसोल बजट भी इस उपयोग को सीमित नहीं कर सकता क्योंकि कंसोल केवल अपने गेटवे से गुजरने वाले अनुरोधों को देखता है।
कुछ उपयोगकर्ताओं ने दावा किया है कि उन्होंने उस उपयोग के लिए भुगतान किया है जो उन्होंने नहीं चलाया था। एक उपयोगकर्ता ने बताया कि उसकी OpenAI कुंजी का उपयोग 281 डॉलर और Anthropic कुंजी का उपयोग 168 डॉलर के लिए किया गया, जबकि एक अन्य उपयोगकर्ता ने अपना नुकसान 1,700 डॉलर बताया। अन्य दावों में Anthropic खाते पर 400 डॉलर और Google उपयोग पर लगभग 200 यूरो का अनधिकृत उपयोग शामिल है, जिसके बाद प्रोजेक्ट को निलंबित कर दिया गया।
OpenCode ने कहा कि कुंजियाँ "उजागर हो सकती हैं", लेकिन यह नहीं बताया कि किसी कुंजी की नकल की गई या उपयोग किया गया। कंपनी ने इस घटना को जारी बताया है और कहा है कि वह इसे ठीक करने के लिए Anthropic, OpenAI और Google के साथ काम कर रही है। कंपनी ने इस उल्लंघन को "बड़े पैमाने पर डिस्टिलेशन हमले से संबंधित" बताया है। 18 अक्टूबर को भी हमलावर प्रणालियों में घुसने की कोशिश कर रहे थे।