开源AI代理OpenCode遭攻击泄露密钥

发生了什么

据Axios Technology报道，开源AI编码代理OpenCode称其被攻击，导致攻击者获取包括OpenAI、Anthropic和Google服务在内的部分客户API密钥。OpenCode称此次漏洞与大规模蒸馏攻击有关，影响了1.4%的OpenCode控制台用户。OpenCode联合创始人Dax Raad表示，攻击者持续攻击其系统长达48小时，迫使公司全天候运行AI代理以应对。OpenAI、Google和Anthropic表示，已与受影响客户合作撤销暴露的API密钥并处理未经授权的使用费用。Raad称，前沿AI模型最初帮助调查漏洞，但随后开始拒绝合作，其安全限制在调查可能恶意代码时阻止了请求，尽管OpenCode正试图防御自身系统。OpenCode随后获得了OpenAI的Daybreak Blue项目访问权限，该项目为经过审查的网络安全防御者提供限制较少的模型。事件凸显了网络安全团队在使用带有内置限制的强大专有AI模型或提供更大部署控制权的开放权重替代方案时面临的困境。当Hugging Face发现其系统上的可疑活动，后来与OpenAI自己的代理有关时，其安全团队在遇到前沿模型限制后转向使用中国开源权重模型协助调查。AI公司表示，他们需要限制对其最强大模型的访问，以确保恶意行为者不能滥用其网络能力。