1.4% من مستخدمي Console وكل مفاتيح المزوّدين: ما تُعلّمه به اختراق OpenCode عن تركّز بيانات اعتماد الذكاء الاصطناعي

خلاصات رئيسية

• وصل مُتسلّل ليلة 16 أكتوبر 2026 إلى نظام قديم خلف Console المستضاف من OpenCode فكشف مفاتيح API الخاصة بـOpenAI وAnthropic وGoogle لـ1.4% من مستخدمي Console — وهي المفاتيح التي حفظها المستخدمون كي لا يراها فريقهم أبدًا (OpenCode على X، ورقة بحثية من CSA).
• ضرب الاستخدام المسيء المُبلَّغ ذاتيًّا حسابات فردية بـ281 دولارًا على OpenAI و168 على Anthropic، مع تقرير واحد ببلغ 1,700 دولار — ولأن المفاتيح بيانات اعتماد "bearer"، فقد أنفقت المفاتيح المنسوخة حتى ألغى كل مزوّد مفاتيحه (TechCrunch).
• حذف مفتاح داخل Console لم يفِد بشيء؛ المزوّد وحده قدر على إبطال ما كان قد نُقل خارجًا — حجب Anthropic وGoogle المفاتيح المكشوفة على نطاق واسع، وردّ OpenAI المستحقات لعملاء API المتأثرين (TechCrunch).
• تعطّل احتواء الحادثة عند مرشَّح أمان: رفضت النماذج الحدودية تحليل الأحمال الخبيثة في منتصف الاستجابة، حتى بلغ فريق الوصول المُدقَّق عبر برنامج Daybreak Blue من OpenAI — وهي الجدار نفسه الذي وثّقه Hugging Face في يوليو («الحواجز الوقائية لا تفرّق بين مُستجيب حادثة ومهاجم») (TechCrunch، Hugging Face).
• حتى 2 نوفمبر 2026 — وبعد ستة عشر يومًا — لم ينشر OpenCode سببًا جذريًّا ولا تقريرًا لاحقًا ولا رقمًا للخسارة الكلية، وتبقى نسبة الحادثة إلى "هجوم تقطير واسع النطاق" محلّ نزاع؛ درس التركّز قائم مهما كان المآل (StepSecurity، CSA).

اتخذ كل مطوِّر في الفرق التي حفظت مفتاح OpenAI أو Anthropic أو Google داخل Console المستضاف من OpenCode القرار المحلي نفسه، وهو قرار قابل للدفاع: نقل المفتاح بعيدًا عن الأصداف وملفات الإعدادات وسجلّات الدردشة، وترك الأداة المستضافة تستدعي المزوّد باسم الفريق. في 16 أكتوبر 2026، تراكمت تلك القرارات في سطح هجوم واحد. وصل مُتسلّل إلى نظام قديم خلف OpenCode Console — الطبقة المستضافة التي يتشارك فيها الفرق مزوّدي النماذج — وذهبت معه مفاتيح 1.4% من مستخدمي Console (OpenCode على X، CSA). وفي غضون ساعات، كان المطوّرون ينشرون تنبيهات إنفاق انطلقت دفعة واحدة عبر ثلاثة حسابات مزوّدين — أحدهم أبلغ عن 281 دولارًا في رسوم OpenAI و168 في رسوم Anthropic قبل نومه، وأبلغ آخر عن إجمالٍ تجاوز 1,700 دولار (TechCrunch).

ترسم هذه المقالة ما تُثبته الحادثة عن نمطٍ يحمله الآن كل نشرٍ لوكلاء الذكاء الاصطناعي: الأداة المستضافة التي تودع بيانات اعتماد مزوّديك هي بائعٌ يودع علاقاتك مع الذكاء الاصطناعي، والإلغاء يقع عند المزوّد لا داخل الأداة. وتستند إلى MCP Events: When a Subscription Becomes a Credential You Cannot Revoke التي تناولت فجوة عمر الاشتراك التي تجعل أحداث MCP بيانات اعتماد لا يمكن إلغاؤها نظافةً؛ أما هنا فالفجوة تسير في الاتجاه المعاكس — الأداة تمسك بالاعتماد، وذكراك الوحيدة على نسخةٍ أُخذت من قبل توجد عند المزوّد الذي أصدرها.

ما حدث، بترتيبه المُتحقَّق من صحّته

الخط الزمني المُتحقَّق منه قصير، لأن البائع نشر القليل:

• 16 أكتوبر (ليلة): وصل المُتسلّل إلى نظام أقدم خلف OpenCode Console — منصّة قديمة كانت الشركة في طور إحالتها إلى التقاعد (CSA).
• 17 أكتوبر: أعلنت OpenCode الاختراق على X، وحدّدت التأثر بنسبة 1.4% من مستخدمي Console، وأرسلت بريدًا إلى كل مستخدم متأثر بعنوان «Action Required: Potential provider key breach». أوضح المؤسس المشارك Dax Raad الحدّ — «هذه OpenCode Console لا OpenCode نفسها، تلك المفاتيح لا تصل إلينا مطلقًا»؛ ولم يُتأثر أداة سطر الأوامر مفتوحة المصدر (TechCrunch).
• 17–18 أكتوبر: حجب Anthropic وGoogle مفاتيح API التي قرّرا أنه مكشوفة (TechCrunch). وعملت OpenAI مع OpenCode في المعالجة وردّت لعملاء API المتأثرين الأرصدة المستهلكة في الهجوم.
• جارٍ: تراكمت الرسوم المُبلَّغة عن المستخدمين — OpenAI 281 / Anthropic 168، نحو 400 دولار رسوم Anthropic ونحو 200 يورو رسوم Google في تقارير أخرى، وإجمالٍ ذاتيّ بلغ 1,700 دولار (CSA). وقالت OpenCode إن استردادات الرسوم غير المخوّلة جارية.
• غير منشور حتى 2 نوفمبر: سبب جذري، تقرير لاحق للحادثة، رقم خسارة كلية، وهل كانت المفاتيح المحفوظة مشفَّرة، وقائمة المزوّدين الدقيقة — يذكر ملخص Cyera أن OpenRouter ضمن أنواع المفاتيح المكشوفة بينما أفاد The Hacker News بـOpenAI وAnthropic وGoogle (CSA، Cyera).

علامة الصدق مهمة: نسبت OpenCode الحدث إلى «هجوم تقطير واسع النطاق»، واعترض باحثون في غضون ساعات — وصف Nathan Lambert الإطار بالمبالغة، محاجًّا بأن الحادثة تبدو اختراقًا مباشرًا لم يثبت استخدامه للتنصيص... التقطير (TechCrunch). إن التقطير في ذاته تهديد حقيقي — ووثّقت Anthropic حملات استخدمت نحو 24,000 حساب احتيالي أنتجت أكثر من 16 مليون تبادل للتدرّب على مخرجات Claude — لكن أحدًا لم يربط علنًا اختراق OpenCode بذلك. المفاتيح المسروقة علفٌ مقبول لذلك السوق؛ والمقبولية ليست نسبةً. سياق الحجم: OpenCode من أكثر مستودعات GitHub نجومًا بـ217,000 نجمة، فسطح التعرض لم يكن تجربة هامشية — بل كان من بين أكبر مشاريع الذكاء الاصطناعي مفتوحة المصدر العاملة في الإنتاج.

النمط: تركّز بيانات الاعتماد في أدوات الوكلاء المستضافة

بنية الاختراق أهم من حجمه. كل مساحة عمل في Console خزّنت مفتاح مزوّد كانت تُحلّ مسألة حقيقية محليًّا — توقّف المفتاح عن التسرب عبر أجهزة المطوّرين. وفي الإجمال، أنتج التصميم نفسه خزنةً تحمل اعتماداتٍ فعّالة لعدة مزوّدين لا صلة بينهم، خلف محيط أمني لشركة واحدة لا يستطيع عملاؤها ملاحظته. مهاجمٌ يبلغ الخزنة لا يحتاج إلى اختراق OpenAI أو Anthropic أو Google ولا إلى مساومة جهاز عميل واحد؛ الأداة المستضافة هي نقطة التعرض الوحيدة عبر كل علاقة مزوّدٍ أودعها المستخدمون عندها (CSA).

مفاتيح المزوّدين تجعل الوضع أسوأ من أغلب الأسرار لأنها اعتمادات bearer متساهلة: لا ترتبط عادةً بجهازٍ أو شبكة أو جلسة، وتنفق على حساب العميل ما لم تُضبط مفاتيح مشاريع أضيق وسقوف إنفاق. المفتاح المسروق يعمل فورًا، من أي مكان، على نفقتك — وهو ما أظهرته بضعة تقارير عن الرسوم غير المخوّلة تمامًا (CSA). ظهرت البنية نفسها أوائل الشهر في شكل آخر: تحليل CSA لسلسلة ثغرات بوابة LiteLLM يوثّق بوابةً تودع مفاتيح مزوّدي المؤسسة، حيث يكشف اختراقٌ واحد اعتمادات كل الخدمات المُتقدِّمة عليها. تختلف العمارة؛ التركّز ذاته.

تفصيل النظام القديم يستحق سطرًا خاصًّا. النظام الذي وصل إليه المُتسلّل كان يُحال إلى التقاعد — وأنظمة إزالتها المقررّة تتلقى عادةً رقعًا أقل ومراقبةً أدنى ومراجعات وصول أضعف، مع بقائها تحمل بيانات إنتاج (CSA). مخزن الاعتمادات ليس «بيانات قديمة». حتى تكتمل الهجرة والحذف، فالنظام المُقاد إلى التقاعد خزنةٌ في الخدمة.

الإلغاء غير متماثل — ويقع عند المزوّد لا الأداة

عدم التماثل في التشغيل هو الدرس الأكثر قابلية للانتقال من الحادثة. حذف مفتاح من OpenCode Console يزيل نسخة البائع؛ ولا يفعل شيئًا لنسخةٍ سبق نقلها خارجًا الساعة الثانية فجرًا في 16 أكتوبر. المزوّد المُصدر وحده يقدر على إبطال الاعتماد — لذلك يجدد كلاً من CSA وCyira على الإجراء نفسه: الإلغاء وإعادة الإصدار في لوحة كل مزوّدٍ بنفسه، ولا يكون ذلك داخل أداة الوكيل وحدها أبداً (CSA، Cyera).

يُفصل هذا التماثل الناقص بوضوح في المخطّط التالي:

الطبقة الثالثة من عدم التماثل هي الزمن. ولأن الإساءة المؤتمتة تشرع عادةً فور كشف الاعتمادات، فيجب أن يبلغ التدقيق كل مزيّدٍ كان قد يحتفظ بمفتاح مرتبط — استعراض الاستخدام والفوترة اعتبارًا من 16 أكتوبر، في كل حساب مزوّد، سواء وصل بريدٌ من OpenCode أم لا (Cyera، CSA). لا تنقل رقم 1.4% الثقة: OpenCode وحده يعرف كيف استُخرج، وفريقٌ حُفظت مفاتيحه في Console ولم يصله بريدٌ لا يجوز أن يعامل الصمت بوصفه طلاقة. التدوير رخيص؛ والتعرض الذي يمنعه بلا سقف.

جدار الاستجابة: حين تعثّر الاستجابة للحوادث عند حواجزك الوقائية

أضافت الحادثة نقطة بيانات إلى مشكلة كان لها اسم قبل أن يكون لها مثال ثانٍ. إذ أدار فريق OpenCode وكلاء ذكاء اصطناعي دفاعيين على مدار الساعة خلال 48 ساعة من محاولات هجوم متواصلة، فبدأت النماذج التي استخدموها للتحليل ترفض فحص الشيفرة الخبيثة — قدّمت الأحمال مرشحات الأمان. ثم حصل OpenCode على إتاحة من برنامج Daybreak Blue لدى OpenAI، وهو برنامج يمنح المستخدمين المُدقَّقين نماذج أقل ترفضًا لأعمال أمنٍ دفاعية، فتحسّن التحقيق بفضلها (TechCrunch).

إنه نمط يوليو مُعادًا في شركة أصغر. فعندما حلّلَت Hugging Face اقتحام وكلاء ذكاء اصطناعي مستقلين لبنيتها التحتية، حجبت النماذج التجارية تحليل السجلات؛ ويجمل قسم مدونتها المعنون «The asymmetry problem» الحقيقة التشغيلية بدقة — الحواجز الوقائية «لا تفرّق بين مُستجيب حادثة ومهاجم» (Hugging Face). صار جدار الاستجابة متغيّر حادثٍ متكررًا: شركتان، كلتاهما في أوج أزمة، وجدتا أدوات التحليل عند كل منهما ترفض التحليل. وتبعة الحوكمة ليست أن تكون الحواجز أوسع في مقبلة الحادثة — بل أن تُفترض خطط الحوادث أن التجميع المدعوم بالذكاء الاصطناعي سيتعلّق عند مرشحات الأمان، وأن يُرتَّب مسبقًا مسار الوصول المُدقَّق، كما فعل OpenCode لا بعد أن أبطأه الجدار.

لاحظ David Sacks، النائب المشارك لرئيس مجلس المستشارين العلميين والتقنيين للرئاسة، علنًا أن الحواجز الوقائية ارتدّت في منتصف الهجوم لدى OpenCode وHugging Face معًا (TechCrunch). حلّ اهتمام صانع القرار؛ والتغيير القابل للنشر ما يزال في جانب المشتري.

أربع ضوابط تصمد أمام كل سؤال مفتوح

لا يخبر أيُّ مُعلَن حتى الآن المشتري إن كانت مفاتيح Console لديه مشفَّرة. ولا حاجة لأيٍّ منها لتبنّي هذه الضوابط:

1. حصَرُ أيّ أدوات تحمل أيّ مفاتيح مزيدين. يبدأ الخلل لأن التركّز غير مرئي حتى الاختراق. اسأل كل أداة ذكاء اصطناعي مستضافة يستخدمها فريقك — وكلاء الشيفرة، منصات الدردشة، العبّارات — فما بيانات اعتماد المزوّدين تحفظها على وجه الدقة.
2. عامِل تلك الأدوات في الفحص النافي للجهالة كمزوّدي اعتمادات. الأداة التي تحفظ مفاتيح مزوّديك تحفظ علاقاتك بالذكاء الاصطناعي. اسأل كيف تخزن المفاتيح، وهل مشفّرة ومن أَمِّنها، وأية مراجعة وصول يحظى بها مسار التقاعد — يضبط CSA المجالات المعنية في AI Controls Matrix (هوية وادارة الوصول، تشفير وادارة المفاتيح، سلسلة التوريد).
3. اجعل التدوير عادةً لا طوارئ. دوّر مفاتيح المزوّدين وفق جدول وبناءً على أي إعلان حادثة من مزوّد مستضاف، لأن اختراق خزنة المزوّد لا يظهر لك إلا وقتما شاء المزوّد أن يخبرك.
4. حدّد النطاق والسقف عند المزوّد. مفاتيح المنهجية ضمن المشروع والسقوف الصارمة للإنفاق في لوحة المزوّد هي الحواجز الوحيدة التي تقيّد استخدام مفتاح مسروقَ مباشرةً على المزوّد — ميزانيات الأداة المستضافة لا تقدر على ذلك (Cyera).

ارفق بالقائمة نفسها قاعدة التقاعد: تُكمل هجرة البيانات والحذف قبل أن يُعدّ النظام منخفض الأولوية. النظام الذي خسرته OpenCode كان بين قيد التقاعد، ومع ذلك بقي محتفظًا بمفاتيح العملاء.

قراءات متعلقة

• MCP Events: When a Subscription Becomes a Credential You Cannot Revoke — فجوة عمر الاعتماد في طبقة الوكلاء: صمود اشتراكات MCP Events بعد رموزها، ولانشطار ChatGPT غلافًا للإلغاء
• An Evaluation Agent Breached Medicare: Three Failure Points Every Agent Deployment Shares — جارٌ لحساب الاختراقات: انحراف النية، ضوابط قابلة للتفادي، ومسار إبلاغ باء فشل خمسة أيام
• MCP Security Hardening Checklist for Production Deployments — ضوابط إدارة السِرّ والوحدات المؤطَّرة التي يُرسَم عليها فشل خزنة المفاتيح في هذه الحادثة

---

حفظ فريق هندسة في موزّع متوسط الحجم مفتاح Anthropic مُشترَكًا في وحدة التحكم المستضافة لأداة شيفرته بالذكاء الاصطناعي، لأن ذلك يحفظ المفتاح من كل حاسوب محمول وملف إعداد. وفي ليلة ثُلاثاءٍ، أعلن مزوّد الأداة اختراقًا لنظام قديم من صنعه. حذف الفريق المفتاح من الأداة، وصفّر لوحة ميزانيته، وكمل في عمله. ثم سأل مراقبّ المالية بعد أربعة أيام لماذا أظهرت فاتورة Anthropic دخل مُستخدِمًا بقيمة 740 دولارًا من غير نسبةٍ — نسخة المزوّد كانت محذوفة، لكن النسخة التي اقتنصها مُتسلّل بقت اعتماد bearer نشطًا حتى ألغاه Anthropic، ولم يستعرض أحد فواتير المزوّدين منذ تاريخ الاقتحام. ولم يكن عنصر الميزانية عند المزوّد ذا صلة قط.

اطلب بناءً محدَّد النطاق. أسبوع اكتشاف. تحصل على جرد أنظمة، خريطة سير عمليات، ونطاق مُحدَّد — بناؤًا معنا أو لا.