OpenCode’un isteğe bağlı bulut hizmeti Console’da tutulan API anahtarlarının yanlışlıkla ifşa edilmesi, OpenAI, Anthropic ve Google hesaplarına ait erişim bilgilerini tehlikeye atmış olabilir. Etkilenen taraflar, Console’u ekip içinde model erişimini ortaklaştırmak için kullanan çalışma alanları oldu.
Yapılan son incelemelere göre Console, her çalışma alanının kendi OpenAI, Anthropic ya da Google anahtarını bu platformda saklamasına izin veriyor. Sistem ardından ekip üyelerinin modelleri kullanabilmesi için çağrıları doğrudan bu anahtar üzerinden ilgili sağlayıcıya iletiyor. Kullanımı kolaylaştıran bu yapı, anahtarların tek bir hizmet içinde tutulması nedeniyle risk yüzeyini de büyütüyor.
İsteğe bağlı bulut servisi üzerinden erişim zinciri
İhlalin nasıl gerçekleştiğine dair teknik ayrıntılar sınırlı. Yine de ortaya çıkan tablo, Console içinde tutulan anahtarların yalnızca yerel bir ayar bilgisi olmadığını, doğrudan bulut model servislerine erişim sağlayan kimlik bilgileri olduğunu gösteriyor. Bu yüzden sızıntı, yalnızca OpenCode hesaplarını değil, bağlanan yapay zekâ servislerindeki kullanım yetkilerini de ilgilendiriyor.
OpenAI, Anthropic ve Google anahtarlarıyla kurulan bu bağlantı, ekiplerin tek tek oturum açmadan model kullanmasını sağlıyor. Ancak aynı mekanizma, Console’a yetkisiz erişim sağlanması halinde saldırganların ilgili sağlayıcılarda hesap sahiplerinin yerine işlem yapabilmesine de kapı aralayabiliyor. Kaynak metin, sızıntının boyutuna ya da kaç çalışma alanının etkilendiğine dair net bir sayı vermiyor.
OpenCode Console, temel ürünün zorunlu parçası değil; isteğe bağlı barındırılan bir hizmet olarak konumlanıyor. Bu nedenle olayın etkisi, Console’u etkinleştiren ve API anahtarlarını burada saklayan kullanıcılarla sınırlı görünüyor. Buna karşın sızıntının tam kapsamı açıklanmadığı için hangi anahtarların gerçekten açığa çıktığı ve ne kadar süre erişilebilir kaldığı belirsizliğini koruyor.