Ключи API в опасности: что произошло в OpenCode и что делать

Лента принесла материал о взломе OpenCode — сервиса, где разработчики хранят ключи API для ИИ-моделей. Утечка затронула не только данные, но и привела к реальным финансовым потерям у пользователей. Я сразу подумал: это не про «другие» — это про тех, кто работает с внешними API, и кто думает, что ключи в облаке — это безопасно.

Прочитал, что в OpenCode скомпрометировали устаревшую систему, из-за чего злоумышленники получили доступ к API-ключам пользователей, сохранённым в консоли. Ключи OpenAI, Anthropic, Google — они в одном месте, и это оказалось точкой входа. Утечка затронула 1,4% пользователей, но у некоторых уже были списания на тысячи долларов. При этом просто удалить ключ из интерфейса недостаточно — его нужно отозвать у провайдера. А это не всегда быстро, и в это время злоумышленники могут продолжать использовать ресурсы.

Считаю, что главная угроза здесь — не в том, что кто-то «взломал» сайт, а в том, что люди доверяют системам хранения ключей, не проверяя, как они защищены. Если ключи хранятся в одном месте, даже если это «надёжный» сервис, это риск. Особенно если там нет двухфакторной аутентификации, мониторинга подозрительных запросов или автоматического отзыва при аномалиях. На мой взгляд, это не исключение — это модель, которую многие повторяют.

У себя уже начал проверять, где у клиентов хранятся ключи API. Если они в консоли, в файле, в настройках — и нет механизма отзыва или контроля — это точка риска. Поставил в план на неделю: для всех клиентов с внешними API — проверить, где ключи хранятся, и как они отзываются. Если хранятся в открытом виде — переделать. Если нет механизма контроля — внедрить. Главное — не ждать, пока кто-то скомпрометирует ключ, а закрыть возможность утечки заранее.