Peretasan OpenCode Ekspos Kunci API Pengguna di Tengah Serangan Distilasi AI
Proyek pengodean kecerdasan buatan (AI) open-source, OpenCode, telah mengirimkan pemberitahuan resmi kepada sejumlah penggunanya bahwa kunci API (API keys) yang mereka simpan untuk terhubung dengan penyedia layanan eksternal telah terekspos dalam sebuah insiden pelanggaran keamanan.
Sejumlah pengguna melaporkan bahwa insiden kebocoran ini memicu pembengkakan tagihan penggunaan API tanpa izin serta penangguhan proyek (suspended projects) secara sepihak di platform Google Cloud. Menurut pengelola proyek, kebocoran tersebut berdampak pada sekitar 1,4% pengguna OpenCode Console, di mana beberapa korban melaporkan kemunculan tagihan ilegal yang menembus angka lebih dari $1.700 hanya dalam waktu semalam.
Sebagai informasi, OpenCode merupakan agen coding AI yang bersifat model-agnostic, dirancang untuk membantu para pengembang memahami baris kode, menulis fitur baru, serta memperbaiki bug menggunakan instruksi bahasa alami melalui terminal, aplikasi desktop, maupun editor kode. Melalui platform ini, pengguna dapat menautkan berbagai model AI dari sejumlah penyedia eksternal ke dalam konsol OpenCode guna mengotomatisasi dan menyederhanakan alur kerja pengembangan perangkat lunak.
Serangan Distilasi AI Selama 48 Jam Menggunakan Agen Otonom
Pada hari Sabtu lalu, OpenCode mengumumkan bahwa infrastruktur mereka menjadi sasaran serangan distilasi (distillation attack) berskala besar. Serangan ini secara spesifik hanya berdampak pada sebagian pengembang yang menautkan layanan penyedia AI eksternal ke akun mereka, termasuk Anthropic, OpenAI, dan Google.
Secara teknis, distilasi sebenarnya merupakan teknik machine-learning yang sah dan lazim digunakan untuk melatih model AI berukuran lebih kecil dengan memanfaatkan respons yang dihasilkan oleh model AI yang jauh lebih besar dan canggih. Tujuannya adalah menciptakan model turunan yang lebih murah dan cepat, namun tetap mempertahankan sebagian besar kapabilitas dari model induknya. Akan tetapi, teknik ini berubah menjadi serangan siber yang merugikan ketika dijalankan secara masif melalui kueri tanpa izin menggunakan kunci API hasil curian.
Salah satu pendiri (co-founder) OpenCode, Dax Raad, mengungkapkan bahwa para pelaku ancaman telah menargetkan sistem perusahaan setidaknya selama 48 jam berturut-turut dengan mengerahkan agen-agen AI otomatis.
Menariknya, upaya investigasi internal yang dilakukan tim OpenCode terhadap aktivitas penyerang sempat terhambat ketika model AI yang mereka gunakan untuk melacak serangan justru menolak memproses permintaan analisis akibat terpicunya batasan pengaman bawaan (built-in security safeguards). Raad menyebutkan bahwa situasi akhirnya berhasil dikendalikan dan distabilkan setelah OpenCode beralih menggunakan model keamanan siber khusus besutan OpenAI, Daybreak AI, untuk menangani pertahanan sistem pasca mendapatkan persetujuan akses pada hari Sabtu.
Penangguhan Proyek Google Cloud dan Potensi Ganti Rugi
Berdasarkan surel pemberitahuan yang dikirimkan kepada para pengguna terdampak, potensi awal tereksposnya kunci API tercatat terjadi pada 17 Oktober 2026 pukul 00:30 UTC. Pihak pengembang memastikan bahwa selain kunci API yang tertaut ke penyedia eksternal, tidak ada data pengguna lain yang ikut bocor dalam insiden ini. Saat ini, OpenCode tengah berkoordinasi erat dengan pihak Google, OpenAI, dan Anthropic untuk menangani dampak penyalahgunaan tersebut.
Menyusul bocornya private key milik para pengembang, keluhan mengenai tagihan liar mulai bermunculan dengan nilai kerugian berkisar antara ratusan dolar hingga menyentuh $1.700. Selain kerugian finansial langsung, sejumlah pengguna juga melaporkan bahwa Google Cloud telah menangguhkan proyek mereka secara otomatis setelah sistem keamanan Google mendeteksi adanya “aktivitas penyalahgunaan yang konsisten dengan pembajakan sumber daya.”
Dalam pesan resminya kepada para pengguna yang terdampak, pihak OpenCode turut menyinggung adanya opsi kemungkinan penggantian biaya (reimbursement) bagi para korban yang mengalami kerugian tagihan akibat insiden peretasan ini.
Sumber: BleepingComputer
