Nền tảng AI coding OpenCode bị tấn công, người dùng bị mất tiền trong tài khoản API

OpenCode, một công cụ hỗ trợ lập trình AI mã nguồn mở đang được cộng đồng phát triển ưa chuộng, vừa thông báo về một sự cố bảo mật nghiêm trọng. Theo đó, kẻ tấn công đã xâm nhập vào một hệ thống cũ của nền tảng OpenCode Console, ảnh hưởng trực tiếp đến 1,4% người dùng – những người lưu trữ API key của các dịch vụ AI như OpenAI, Anthropic hay Google tại đây.

Sự cố này đã gây ra làn sóng lo ngại khi nhiều người dùng báo cáo nhận được thông báo chi tiêu bất thường, với số tiền thiệt hại từ vài trăm đến hơn 1.000 USD mỗi tài khoản. Các nhà cung cấp dịch vụ AI như Anthropic và Google đã chủ động vô hiệu hóa các API key bị lộ, trong khi OpenAI phối hợp với OpenCode để hoàn tiền và khôi phục quyền truy cập cho khách hàng.

Đáng chú ý, đội ngũ OpenCode cho biết họ đã phải đối mặt với các cuộc tấn công liên tục trong 48 giờ. Trong quá trình phản ứng, họ gặp phải một rào cản trớ trêu: các mô hình AI dùng để phân tích mã độc lại từ chối làm việc vì các đoạn mã này kích hoạt bộ lọc an toàn (safety filters). Điều này làm dấy lên cuộc tranh luận về vấn đề “bất đối xứng” trong an ninh mạng, khi các rào cản bảo mật trên mô hình AI vô tình gây khó khăn cho chính những chuyên gia đang nỗ lực ngăn chặn tấn công.

Dax Raad, đồng sáng lập OpenCode, khẳng định sự cố chỉ giới hạn ở OpenCode Console, còn các công cụ mã nguồn mở và dòng lệnh (command-line) của họ vẫn an toàn. Hiện tại, OpenCode đã yêu cầu người dùng bị ảnh hưởng ngay lập tức thu hồi và thay thế API key của họ.

Vụ việc này một lần nữa gióng lên hồi chuông cảnh báo về rủi ro khi tích hợp các công cụ AI vào quy trình làm việc, đặc biệt là khi các tác nhân đe dọa ngày càng tận dụng AI để thực hiện các cuộc tấn công quy mô lớn. Trước đó, các nền tảng như Hugging Face cũng từng gặp tình trạng tương tự, cho thấy thách thức trong việc cân bằng giữa tính năng bảo mật của AI và nhu cầu ứng cứu sự cố thực tế.

Nguồn tham khảo: TechCrunch