OpenCodeへの蒸馏攻撃により、Anthropic、OpenAI、GoogleモデルのユーザーAPIキーが流出

Anomaly Innovationsは、OpenCode Consoleプラットフォームが侵害され、約1.4%のユーザーのAPIキーが奪取されたことを明らかにしました。これらのキーは、Anthropic、OpenAI、およびGoogleの高度なAIモデルに接続されていました。

この事件は「大規模な蒸留攻撃」と呼ばれています。攻撃者は盗んだ資格情報を使用してフロンティアモデルに対して大量のクエリを実行し、その出力を利用してより安価なモデルを訓練・洗練させることで、高額な計算コストを被害者のアカウントに転嫁しました。影響を受けたユーザーからは、アカウント残高が急速に減少したとの報告があり、中には数百ドルに達する請求を受けたケースもあります。

OpenCodeは現在、Anthropic、OpenAI、Googleと協力して対策を進めており、影響を受けたユーザーに対してAPIキーを直ちに更新または無効化するよう勧告しています。この事案は、AIコーディングプラットフォームにおけるサードパーティ資格情報の管理におけるセキュリティ上の脆弱性を浮き彫りにしました。

(出典：Vector Wire)