Geliştiriciler arasında Claude Code ve Cursor’a açık kaynaklı alternatif olarak hızla popülerlik kazanan yapay zeka kodlama aracı OpenCode, ciddi bir siber güvenlik ihlaliyle sarsıldı.
Eski bir sisteme sızan hacker’lar, kullanıcıların platformda sakladığı API anahtarlarını (dijital şifrelerini) ele geçirdi. Ele geçirilen bu anahtarlar üzerinden yüzlerce ila binlerce doları bulan yetkisiz yapay zeka kullanımı gerçekleştirildi.
Kullanıcıların Hesaplarından Yüzlerce Dolar Çekildi
Saldırıdan OpenCode Console platformunu kullanan kullanıcıların %1.4’ü etkilendi. Yaşanan ihlalin ardından geliştiriciler; Reddit ve X (Twitter) üzerinden OpenAI, Anthropic ve Google AI hesaplarından arka arkaya yüksek harcama uyarıları (spend alerts) aldıklarını bildirdi. Bazı kullanıcıların hesaplarında yüzlerce, hatta 1.000 doları aşan yetkisiz harcamalar görüldü.
Olayın ardından harekete geçen yapay zeka devleri ve gelişmeler:
- Anthropic ve Google: Sızdırıldığı tespit edilen API anahtarlarını derhal engelledi.
- OpenAI: OpenCode ile iş birliği yaparak erişimi geri yükledi ve saldırıda harcanan kredileri kullanıcılara iade edeceğini açıkladı.
- OpenCode: Açık kaynaklı ana uygulamanın ve komut satırı aracının güvende olduğunu, sızıntının sadece web tabanlı Console sisteminde yaşandığını belirtti. Etkilenen tüm kullanıcılara anahtarlarını iptal edip yenilemeleri tavsiye edildi.
“Güvenlik Filtreleri” Savunmayı Engelledi: Yapay Zeka Kendi Kendiyle Çelişti
Saldırının en dikkat çekici ve tartışmalı yönü ise OpenCode ekibinin savunma yaparken karşılaştığı teknik engel oldu.
OpenCode kurucu ortağı Dax Raad, ekibin 48 saat boyunca aralıksız saldırı altında kaldığını ve güvenlik analizleri için büyük yapay zeka modellerinden yararlanmak istediklerini belirtti. Ancak savunma amaçlı kullanılan yapay zeka modelleri, incelenmesi istenen zararlı kodları güvenlik filtrelerine (safety filters) takıldığı gerekçesiyle reddetti. Yani güvenlik sistemleri, savunma yapan ekibi saldırgandan ayırt edemedi.
Bu durum üzerine OpenAI, ekibe güvenlik filtresi esnetilmiş özel modeller sunan Daybreak Blue programı üzerinden erişim sağladı ve incelemelerin önünü açtı.
Sektörde “Asimetri Problemi” Tartışması
Yapay zeka modellerinin güvenlik savunmalarını engellemesi ilk kez yaşanmıyor. Temmuz ayında Hugging Face de benzer bir siber ihlali incelerken ticari yapay zeka modellerinin güvenlik duvarlarına takılmıştı. ABD Başkanı’nın Bilim ve Teknoloji Danışma Konseyi Eş Başkanı David Sacks da olaya tepki göstererek, modellerin güvenlik filtrelerinin savunma yapmayı engellediğini ve bu durumun ters teptiğini vurguladı.
Son dönemde artan AI destekli siber saldırılar, güvenlik araştırmacılarını daha az kısıtlamaya sahip açık ağırlıklı (open-weight) modellere yönlendirmeye başladı.
