تعرضت أداة البرمجة بالذكاء الاصطناعي مفتوحة المصدر OpenCode، التي تُعد بديلاً شائعاً لأدوات مثل Claude Code وCursor، لاختراق استهدف جزءاً من منصتها الإلكترونية، وفقاً لما أوردته TechCrunch. وأسفر الاختراق عن سرقة مفاتيح API الخاصة ببعض المستخدمين، وهي المفاتيح التي تُستخدم للوصول إلى خدمات الذكاء الاصطناعي وربط الأدوات بها.

ما الذي حدث بالضبط؟

بحسب المصدر، تمكن المهاجمون من الوصول إلى جزء من المنصة الإلكترونية الخاصة بـ OpenCode، واستولوا على مفاتيح API لعدد من المستخدمين. وتُعد هذه المفاتيح بمثابة بيانات اعتماد تتيح للتطبيقات والوكلاء البرمجيين الاتصال بخدمات الذكاء الاصطناعي، ما يعني أن تسريبها قد يسمح لجهة أخرى باستخدامها.

وأشار المصدر إلى أن الاختراق أدى إلى تراكم رسوم على حسابات الذكاء الاصطناعي الخاصة بالمستخدمين المتأثرين، إذ إن استخدام المفاتيح المسروقة يُحتسب عادةً على حساب مالك المفتاح الأصلي.

مفارقة: أدوات الذكاء الاصطناعي رفضت فحص الكود الخبيث

من أبرز التفاصيل التي أوردها المصدر أن أدوات الذكاء الاصطناعي التي لجأ إليها المسؤولون طلباً للمساعدة رفضت الاطلاع على الكود الخبيث. وتسلط هذه الواقعة الضوء على قيد عملي في أدوات الذكاء الاصطناعي المستخدمة في تحليل الأمن السيبراني، حيث قد ترفض بعض الأنظمة التعامل مع محتوى يُصنَّف على أنه ضار، حتى في سياقات التحقيق الدفاعي المشروعة.

لماذا تهم هذه الحادثة؟

تكتسب الحادثة أهمية متزايدة مع انتشار أدوات البرمجة بالذكاء الاصطناعي التي تعتمد على مفاتيح API للاتصال بنماذج اللغة الكبيرة. فمثل هذه المفاتيح تمنح صلاحيات فعلية قد تكون مكلفة، وأي تسريب لها لا يقتصر أثره على الخصوصية بل يمتد إلى الجانب المالي المباشر.

كما أن كون OpenCode مفتوح المصدر لا يحمي بالضرورة من المخاطر المرتبطة بالمنصات الإلكترونية المحيطة به، إذ إن الخدمات السحابية والبوابات التي تدير الوصول إلى الأدوات تبقى نقاط تعرض محتملة بغض النظر عن طبيعة الكود نفسه.

ما الذي يمكن للمستخدمين فعله؟

في ضوء ما ورد في المصدر، يُنصح مستخدمو الأدوات المعتمدة على مفاتيح API بمراجعة نشاط حساباتهم والتحقق من أي رسوم غير معتادة، وإلغاء المفاتيح التي يُشتبه في تسريبها وإصدار بدائل عنها. كما يُستحسن تقييد صلاحيات المفاتيح ووضع حدود للاستهلاك لتقليل الأثر في حال إساءة استخدامها.

الخلاصة

يمثل اختراق منصة OpenCode تذكيراً بأن أمن أدوات الذكاء الاصطناعي لا يتوقف على جودة النموذج أو الكود، بل يمتد إلى البنية التحتية والخدمات المرتبطة بها. ومع تزايد الاعتماد على هذه الأدوات في تطوير البرمجيات، يصبح تأمين مفاتيح API ومراقبة استهلاكها جزءاً أساسياً من الممارسات اليومية للمطورين.