# اختراق OpenCode يعرّض مفاتيح API لـ1.4% من مستخدمي Console

> تمكّن مهاجمون من الوصول إلى نظام قديم لدى OpenCode، ما أدى إلى بلاغات عن رسوم غير مصرّح بها على حسابات الذكاء الاصطناعي. وتقول الشركة إن على المستخدمين المتضررين استبدال مفاتيحهم.

Oossa · 2026-10-19 · https://oossa.com/ar/opencode-breach-exposed-api-keys-for-1-4-of-console-users

قالت OpenCode إن مهاجمين اخترقوا نظامًا قديمًا، ما أدى إلى كشف مفاتيح API تخص 1.4% من مستخدمي OpenCode Console، منصتها عبر الإنترنت. وأبلغ بعض المستخدمين عن رسوم غير مصرّح بها على حساباتهم لدى OpenAI وAnthropic وGoogle AI، وصلت فواتيرها إلى مئات الدولارات، وتجاوزت $1,000 في حالات قليلة.

وقالت الشركة إنها أرسلت بريدًا إلكترونيًا إلى جميع المتضررين، وطلبت منهم إلغاء مفاتيحهم واستبدالها مباشرةً لدى كل مزوّد. وحظرت Anthropic وGoogle المفاتيح التي اعتقدتا أنها كُشفت. أما OpenAI، فتعاونت مع OpenCode لإعادة الوصول إلى الحسابات وردّ قيمة الأرصدة المستخدمة في الهجوم؛ وتقول OpenCode إن عمليات ردّ الأموال جارية.

## الاختراق اقتصر على Console

قال Dax Raad، الشريك المؤسس لـOpenCode، إن التطبيق مفتوح المصدر وأداة سطر الأوامر لم يتأثرا. وكانت المفاتيح التي كُشفت محفوظة في Console، حيث خزّنها بعض المستخدمين في مساحات العمل. ولم توضح OpenCode كيف دخل المهاجمون إلى النظام القديم، أو كيفية تخزين المفاتيح، أو النطاق الكامل لاستخدامها. وتقول الشركة إن الحادثة لا تزال مستمرة.

ووصفت OpenCode الحادثة بأنها «هجوم تقطير» واسع النطاق، وهي عملية تُستخدم فيها مخرجات نموذج للمساعدة على تدريب نموذج آخر. لكنها لم تشرح كيف نُفذت هذه العملية، وشكك بعض المراقبين في ثبوت الصلة بين الاختراق والتقطير.

## مرشحات الأمان عقّدت الاستجابة

قال Raad إن المهاجمين واصلوا محاولات اختراق أنظمة OpenCode، وإن النماذج التي استخدمها الفريق لفحص الشيفرات المشبوهة بدأت ترفض الطلبات عند تفعيل مرشحات الأمان. وأضاف أن الوصول إلى برنامج Daybreak Blue من OpenAI، الذي يتيح لمستخدمين معتمدين نماذج أقل ميلًا إلى رفض أعمال الأمن الدفاعي، ساعد في تحسين التحقيق.

وتذكّر هذه الحادثة بمشكلة وصفتها Hugging Face بعد اختراق وقع في يوليو: فقد تمنع أنظمة الأمان المدافعين من تحليل الشيفرات الخبيثة نفسها التي يستخدمها المهاجمون. ولا يثبت ذلك أن المرشحات تسببت في هذا الاختراق، لكنه يوضح كيف يمكن لقيود النماذج أن تعقّد الاستجابة للحوادث. ولم تكشف OpenCode كيف دخل المهاجمون أو حجم الاستخدام غير المصرّح به.

## الحقائق

- قالت OpenCode إن الاختراق أثر في 1.4% من مستخدمي OpenCode Console.
- قالت الشركة إنها أرسلت بريدًا إلكترونيًا إلى جميع المستخدمين المتضررين؛ ووفقًا لـOpenCode، فإن من لم يتلقوا بريدًا لم يتأثروا.
- حظرت Anthropic وGoogle المفاتيح التي اعتقدتا أنها كُشفت، بينما تعاونت OpenAI مع OpenCode على ردّ قيمة الأرصدة المستخدمة في الهجوم.
- تقول OpenCode إن تطبيقها مفتوح المصدر وأداة سطر الأوامر لم يتأثرا.

## لماذا يهم

على المطورين الذين خزّنوا مفاتيح API لمزوّديهم في OpenCode Console إلغاء هذه المفاتيح واستبدالها لدى كل مزوّد للذكاء الاصطناعي. وتقول OpenCode إن ردّ الأموال عن الرسوم غير المصرّح بها جارٍ. ولم توضح الشركة كيف تمكن المهاجمون من الوصول أو تكشف إجمالي حجم إساءة الاستخدام، لذا لا يزال نطاق التعرض غير واضح.

## المصادر والمراجع

1. [Hackers hit AI coding tool OpenCode, running up charges on users’ AI accounts](https://techcrunch.com/2026/10/19/hackers-hit-ai-coding-tool-opencode-running-up-charges-on-users-ai-accounts/) – TechCrunch, 2026-10-19

آخر تحديث: 2026-10-19