Yapay zeka modellerine erişim sağlayan ABD merkezli popüler platform OpenCode, yaklaşık 48 saat süren ağır bir siber saldırıyla sarsıldı. Savunma amacıyla kullanılan yapay zeka modellerinin güvenlik taleplerini doğrudan yerine getirmeyi reddetmesi sonucunda sunucular ele geçirildi, geliştiricilere ait kritik API erişim anahtarları çalındı. Yaşanan kriz, siber güvenlik dünyasında yapay zekanın “etik ve güvenlik protokollerinin” savunma taraflarını nasıl çaresiz bırakabileceğini gözler önüne serdi.
Saldırıyı “damıtma (distillation) operasyonu” olarak nitelendiren şirket yetkilileri, korsanların temel hedefinin ABD dışından erişime kapalı olan gelişmiş modelleri kullanmak olduğunu belirtti. Ele geçirilen API anahtarlarıyla korsanlar, Anthropic, OpenAI ve Google gibi devlerin yapay zeka modellerine yasa dışı erişim hakkı elde etti. OpenCode tarafından yapılan resmi açıklamaya göre, saldırı aylık 16 milyon aktif kullanıcının yaklaşık yüzde 1,4’ünü doğrudan etkiledi; bu da en az 220 bin geliştiricinin hesabının tehlikeye girdiği anlamına geliyor.
Çalınan API anahtarları kullanıcıların cebini yaktı
Geliştiricilerin açık kaynaklı ve bağımsız kodlama araçlarını yapay zeka sistemlerine entegre etmesini sağlayan platformda yaşanan sızıntı, doğrudan mali kayıplara dönüştü. API anahtarlarının sabit aylık abonelik yerine tüketilen jeton (token) miktarına göre faturalandırılması nedeniyle faturalar mağdurlara kesilmeye başladı.
Çok sayıda kullanıcı, sosyal medya platformlarında hesaplarından bilgileri dışında binlerce dolarlık kullanım yapıldığını gösteren faturalar paylaştı. Çalınan anahtarlar yalnızca maddi kayba yol açmakla kalmıyor; aynı zamanda kullanıcıların yerel bilgisayarlarında kayıtlı özel kod ve projelerini de harici erişim riskine açık hale getiriyor.
Saldıranlar serbest, savunanlar engellere takılıyor
Olayın en dikkat çekici boyutu, saldırganlar ile savunma ekipleri arasındaki teknolojik asimetri oldu. Güvenlik uzmanlarına göre korsanlar her türlü siber eylemi gerçekleştirebilen, kuralları gevşetilmiş veya sansürsüz yapay zeka ajanları kullanırken; savunma hattındaki güvenlik modelleri platformun taleplerini “zararlı eylem algısı” gerekçesiyle reddetti.
Kriz özel izinle kontrol altına alınabildi
OpenCode Üst Yöneticisi (CEO) Dax Raad, saldırıyı ancak OpenAI’ın deneysel olarak sunduğu “Daybreak Blue” programına dahil olduktan sonra durdurabildiklerini açıkladı. Savunma amaçlı güvenlik operasyonlarında modelin ret yanıtı verme ihtimalini düşüren bu özel izin sayesinde karşı koyma süreci tamamlandı.
Benzer tehlikelere daha önce Hugging Face CEO’su Clement Delanghe de dikkat çekmiş ve BM Güvenlik Konseyi’nde yaptığı konuşmada savunanların kısıtlamalar nedeniyle geride kaldığını vurgulamıştı. CrowdStrike gibi siber güvenlik devlerinin de işaret ettiği bu son vaka, yapay zeka destekli siber saldırıların kurumsal savunma kalkanlarını aşma riskinin hızla büyüdüğünü gösteriyor.
