Sebuah alat pemrograman AI yang sedang populer mengalami masalah. Dini hari tadi, pihak resmi OpenCode mengeluarkan pernyataan: mereka diretas, dan 1,4% akun pengguna terdampak. Saldo AI dari berbagai layanan yang disimpan pengguna di sana dicuri, termasuk OpenAI, Claude, dan Google.
Seorang pengguna mengatakan dompet OpenRouter miliknya dibobol hanya karena bulan lalu ia pernah menggunakan OpenCode. Ada juga yang dikenai tagihan sebesar 400 dolar.
Pihak resmi menyebut serangan kali ini sebagai “serangan distilasi”. Istilah distilasi terdengar rumit, padahal mudah dipahami. Di dunia AI, ada praktik yang umum dilakukan: melatih model kecil menggunakan jawaban dari model besar. Itulah yang disebut distilasi. Biasanya, kita harus membayar sendiri untuk mendapatkan jawaban dari model besar.
Yang dilakukan penyerang adalah mencuri key pengguna, lalu memakai uang orang lain untuk mengakses model besar dan mengumpulkan jawaban dalam jumlah besar. Untuk apa jawaban-jawaban itu? Untuk melatih model mereka sendiri. Artinya, biaya terbesar untuk membeli jawaban berkualitas tinggi dibebankan ke sejumlah pengguna yang tidak tahu apa-apa. Pengguna kehilangan saldo, perusahaan AI membakar komputasi tanpa dibayar, sementara penyerang mendapatkan sesuatu yang paling berharga di industri ini secara cuma-cuma: data jawaban dari model-model terbaik.
Bagaimana uangnya bisa hilang? Alat seperti OpenCode memudahkan pengguna dengan menyimpan key berbagai layanan AI di platform, lalu menggunakannya secara otomatis. Pihak resmi mengatakan bahwa yang terdampak adalah pengguna yang menautkan akun mereka ke penyedia layanan eksternal. Ibaratnya, kamu menyimpan kunci di meja resepsionis, lalu meja resepsionisnya dibobol 😅.
Kabar baiknya, respons mereka cukup cepat. Anthropic, perusahaan di balik Claude, langsung menonaktifkan key yang terdampak dalam waktu lima jam dan menyarankan pengguna yang pernah menyimpan key untuk membuat yang baru. Baru kali ini saya melihat perusahaan AI turun tangan membereskan masalah di platform pihak ketiga.
Perusahaan besar terus memperkuat pertahanan mereka, jadi para pencuri mulai mengincar tempat-tempat yang menyimpan kunci untukmu. OpenCode baru saja populer dua hari lalu karena menawarkan model gratis. Semakin cepat jumlah penggunanya bertambah dan semakin banyak uang yang disimpan, semakin menarik pula bagi para pencuri.
Pihak resmi sudah menjelaskan dengan tegas: hanya mereka yang menerima email pemberitahuan yang terdampak. Jika belum menerima email, untuk sementara akunmu aman.
Soal key:
Hapus yang tidak digunakan
Ganti yang sering digunakan dengan key baru
Cuma perlu dua menit.
Selain itu, disarankan untuk memeriksa penggunaan terbaru di setiap penyedia layanan AI, menetapkan batas pengeluaran, dan mengganti semua key yang pernah ditautkan di OpenCode.
Peristiwa ini kembali mengingatkan kita: menyimpan API key pihak ketiga secara terpusat di satu platform memang praktis, tetapi risikonya juga ikut terpusat.
Seorang pengguna mengatakan dompet OpenRouter miliknya dibobol hanya karena bulan lalu ia pernah menggunakan OpenCode. Ada juga yang dikenai tagihan sebesar 400 dolar.
Pihak resmi menyebut serangan kali ini sebagai “serangan distilasi”. Istilah distilasi terdengar rumit, padahal mudah dipahami. Di dunia AI, ada praktik yang umum dilakukan: melatih model kecil menggunakan jawaban dari model besar. Itulah yang disebut distilasi. Biasanya, kita harus membayar sendiri untuk mendapatkan jawaban dari model besar.
Yang dilakukan penyerang adalah mencuri key pengguna, lalu memakai uang orang lain untuk mengakses model besar dan mengumpulkan jawaban dalam jumlah besar. Untuk apa jawaban-jawaban itu? Untuk melatih model mereka sendiri. Artinya, biaya terbesar untuk membeli jawaban berkualitas tinggi dibebankan ke sejumlah pengguna yang tidak tahu apa-apa. Pengguna kehilangan saldo, perusahaan AI membakar komputasi tanpa dibayar, sementara penyerang mendapatkan sesuatu yang paling berharga di industri ini secara cuma-cuma: data jawaban dari model-model terbaik.
Bagaimana uangnya bisa hilang? Alat seperti OpenCode memudahkan pengguna dengan menyimpan key berbagai layanan AI di platform, lalu menggunakannya secara otomatis. Pihak resmi mengatakan bahwa yang terdampak adalah pengguna yang menautkan akun mereka ke penyedia layanan eksternal. Ibaratnya, kamu menyimpan kunci di meja resepsionis, lalu meja resepsionisnya dibobol 😅.
Kabar baiknya, respons mereka cukup cepat. Anthropic, perusahaan di balik Claude, langsung menonaktifkan key yang terdampak dalam waktu lima jam dan menyarankan pengguna yang pernah menyimpan key untuk membuat yang baru. Baru kali ini saya melihat perusahaan AI turun tangan membereskan masalah di platform pihak ketiga.
Perusahaan besar terus memperkuat pertahanan mereka, jadi para pencuri mulai mengincar tempat-tempat yang menyimpan kunci untukmu. OpenCode baru saja populer dua hari lalu karena menawarkan model gratis. Semakin cepat jumlah penggunanya bertambah dan semakin banyak uang yang disimpan, semakin menarik pula bagi para pencuri.
Pihak resmi sudah menjelaskan dengan tegas: hanya mereka yang menerima email pemberitahuan yang terdampak. Jika belum menerima email, untuk sementara akunmu aman.
Soal key:
Hapus yang tidak digunakan
Ganti yang sering digunakan dengan key baru
Cuma perlu dua menit.
Selain itu, disarankan untuk memeriksa penggunaan terbaru di setiap penyedia layanan AI, menetapkan batas pengeluaran, dan mengganti semua key yang pernah ditautkan di OpenCode.
Peristiwa ini kembali mengingatkan kita: menyimpan API key pihak ketiga secara terpusat di satu platform memang praktis, tetapi risikonya juga ikut terpusat.