OpenCode Console 入侵威脅連結的 AI 供應商憑證

OpenCode Console 的漏洞突顯了管理第三方 AI 服務存取權限的持續風險。API 密鑰允許應用程式驗證請求並產生費用，這次事件可能導致這些密鑰被洩露。這對受影響的用戶造成了財務風險，因為未經授權的第三方可能會向 AI 模型提交請求，可能導致意外的帳單，而無需直接存取用戶密碼。

該公司將此事件描述為與大規模蒸餾攻擊有關，儘管事件的完整序列仍未確定。蒸餾通常涉及使用現有 AI 模型的輸出，以幫助訓練或改進另一個模型，這可能會產生大量的自動化請求。公開披露並未澄清此活動是在憑證外洩之前還是之後發生。

安全專家已敦促受影響的組織主動更換所有可能已外洩的憑證，而不是僅僅依賴於沒有可疑活動的跡象。這項建議強調，即使沒有立即的濫用跡象，風險仍然存在。建議還包括檢查 10 月 16 日起的供應商使用情況和帳單記錄，以查找意外請求、不熟悉的模型或不明費用，包括來自共享工作區配置的費用。