OpenCode เปิดเผยเหตุการณ์ข้อมูลรั่วไหลที่ส่งผลกระทบต่อผู้ใช้ Console จำนวน 1.4% พร้อมเตือนว่า API Key ของ Third-Party ที่บันทึกไว้ใน Workspace ที่ได้รับผลกระทบอาจถูกเปิดเผย โดยในแถลงการณ์เมื่อวันที่ 17 ตุลาคม บริษัทระบุว่า เหตุการณ์ดังกล่าวมีความเชื่อมโยงกับการโจมตีแบบ Distillation ขนาดใหญ่ และกำลังทำงานร่วมกับ Anthropic, OpenAI และ Google เพื่อจัดการกับปัญหานี้
กลุ่มผู้ได้รับผลกระทบจำกัดอยู่เฉพาะผู้ใช้ Console บางส่วนที่เชื่อมต่อกับผู้ให้บริการภายนอก OpenCode ระบุว่า ได้ส่งอีเมลแจ้งผู้ได้รับผลกระทบทุกรายในช่วงเช้าของวันดังกล่าวแล้ว พร้อมยืนยันว่าผู้ใช้ที่ไม่ได้รับอีเมลจะไม่ได้รับผลกระทบ ทั้งนี้ ตัวเลข 1.4% หมายถึงสัดส่วนของผู้ใช้ Console เท่านั้น ไม่ใช่ฐานผู้ใช้ OpenCode ทั้งหมด
การเข้าถึงระบบเก่าทำให้ API Key ของผู้ให้บริการภายนอกตกอยู่ในความเสี่ยง
ข้อความแจ้งเตือนที่ปรากฏในภาพหน้าจอซึ่งแนบมากับข้อมูลต้นฉบับระบุว่า OpenCode ตรวจพบการเข้าถึงระบบเก่า (Legacy System) โดยไม่ได้รับอนุญาต ซึ่งเป็นระบบที่บริษัทกำลังเตรียมยุติการใช้งานอยู่แล้ว เหตุการณ์นี้อาจทำให้ API Key ของ Third-Party ที่จัดเก็บไว้ใน Workspace ของผู้ใช้ รวมถึง API Key ของ OpenAI และ Anthropic ถูกเปิดเผย
ข้อความแจ้งเตือนดังกล่าวขอให้ผู้ได้รับผลกระทบเพิกถอน และเปลี่ยน API Key เหล่านั้นผ่าน Dashboard ของผู้ให้บริการแต่ละราย, อัปเดตแอปพลิเคชันที่ใช้งาน Key ดังกล่าว และตรวจสอบประวัติการใช้งานล่าสุดเพื่อค้นหากิจกรรมที่ผิดปกติ อย่างไรก็ตาม ข้อความในประกาศระบุถึงความเป็นไปได้ที่ API Key อาจถูกเปิดเผย แต่ไม่ได้ยืนยันว่า API Key ทุกตัวที่ได้รับผลกระทบถูกขโมย หรือถูกนำไปใช้งานแล้ว
แถลงการณ์สาธารณะของ OpenCode ไม่ได้อธิบายว่าผู้โจมตีเข้าถึงระบบได้อย่างไร สามารถอยู่ภายในระบบได้นานเท่าใด หรือมี API Key จำนวนเท่าใดที่เกี่ยวข้อง นอกจากนี้ บริษัทยังไม่ได้ระบุตัวผู้โจมตี หรือเปิดเผยหลักฐานทางเทคนิคที่แสดงให้เห็นว่าเหตุละเมิดความปลอดภัยครั้งนี้สนับสนุนกิจกรรม Distillation ที่มีการรายงานอย่างไร
Distillation เป็นกระบวนการฝึก AI Model หนึ่ง โดยใช้ผลลัพธ์ที่สร้างจาก AI Model อีกตัวหนึ่ง ในกรณีที่เป็นการดำเนินการโดยไม่ได้รับอนุญาต ผู้โจมตีสามารถรวบรวมผลลัพธ์จำนวนมากจาก Model โดยไม่ได้รับอนุญาต ก่อนหน้านี้ Cybersecurity News เคยรายงานเกี่ยวกับคำเตือนของ Anthropic เกี่ยวกับการโจมตีแบบ Distillation ขนาดใหญ่ โดยอธิบายว่าการส่ง requests ซ้ำ ๆ สามารถช่วยถ่ายทอดความสามารถจาก Model หนึ่งไปยังอีก Model หนึ่งได้อย่างไร
อย่างไรก็ตาม OpenCode ยังไม่ได้อธิบายว่า Credential ที่อาจถูกเปิดเผยถูกนำไปใช้ส่ง requests เหล่านั้นหรือไม่ แถลงการณ์ของบริษัทจึงเป็นเพียงการระบุถึงความเชื่อมโยงที่มีการรายงาน ไม่ใช่คำอธิบายรายละเอียดของการโจมตีทั้งหมด อีกทั้งการเปิดเผยข้อมูลต่อสาธารณะครั้งนี้ยังไม่มีการยืนยันตัวเลขความเสียหายที่เกิดขึ้น
ความเสี่ยงในวงกว้างจาก Credential ที่ถูกเปิดเผยเคยปรากฏในรายงานก่อนหน้านี้เกี่ยวกับการค้นพบ API Key ในข้อมูลบนเว็บที่เข้าถึงได้สาธารณะ กรณีดังกล่าวเป็นเหตุการณ์ที่แยกจากกัน และแสดงให้เห็นถึงความสำคัญของการจัดเก็บข้อมูล secret อย่างปลอดภัย รวมถึงการลบข้อมูลเหล่านั้นเมื่อจำเป็น แต่ไม่ได้เป็นหลักฐานว่าทั้งสองเหตุการณ์มีผู้โจมตีรายเดียวกัน หรือใช้วิธีการโจมตีแบบเดียวกัน
ผู้ใช้ที่ได้รับผลกระทบถูกขอให้เปลี่ยน API Key
สำหรับผู้ใช้ที่ได้รับการแจ้งเตือน การดำเนินการเร่งด่วนคือการเปลี่ยน API Key ตามขั้นตอนที่ระบุไว้ในประกาศแจ้งเตือน, การตรวจสอบประวัติการใช้งานจากผู้ให้บริการควบคู่กับข้อมูลการเรียกเก็บค่าบริการล่าสุดสามารถช่วยระบุคำขอที่จำเป็นต้องตรวจสอบเพิ่มเติมได้ ทั้งนี้ การเปลี่ยน API Key ยังจำเป็นต้องอัปเดตแอปพลิเคชันทุกตัวที่ใช้งาน Key ดังกล่าวด้วย
OpenCode ระบุว่า เหตุการณ์นี้ยังคงดำเนินอยู่ในขณะที่บริษัทเผยแพร่แถลงการณ์ และยังไม่สามารถเปิดเผยรายละเอียดเพิ่มเติมได้ การเผยแพร่รายงานทางเทคนิคที่ละเอียดกว่านี้จะช่วยให้ทราบถึงช่องทางที่ผู้โจมตีใช้เข้าถึงระบบ ขอบเขตของ Credential ที่อาจถูกเปิดเผย และข้อเท็จจริงว่ามีการส่งคำขอไปยัง AI Model โดยไม่ได้รับอนุญาตเกิดขึ้นจริงหรือไม่
ที่มา : Cybersecuritynews
You must be logged in to post a comment.