ألغِ المفتاح الذي خزّنته في OpenCode Console من لوحة مزوّده نفسه (Anthropic أو OpenAI أو Google)، وأنشئ مفتاحًا جديدًا، وضع سقف إنفاق شهريًا. وإن لم يصلك بريد فلست ضمن الفئة المتأثرة، بحسب الشركة.
أعلن فريق OpenCode، وهو وكيل برمجة مفتوح المصدر يُقدَّم بديلًا لـ Claude Code وCursor، أن مهاجمين دخلوا ليلًا إلى نظام أقدم في منصته OpenCode Console، وأن 1.4% من مستخدمي المنصة تأثروا. ينقل موقع TechCrunch (19 أكتوبر 2026) أن بعض هؤلاء خزّنوا في الـConsole مفاتيح API يدخلون بها إلى خدمات الذكاء الاصطناعي، وأن الشركة أبلغتهم بالبريد صباح السبت.
ماذا حدث بالضبط، وما الذي ما زال غير معروف؟
بدأ مطورون ينشرون في Reddit وX تنبيهات إنفاق وفواتير لم يطلبوها. كتب أحدهم أن تنبيهات الإنفاق في OpenAI وAnthropic وGoogle انطلقت كلها قبل نومه. وذكر آخرون مئات الدولارات على حساب واحد، ووصف قلّة منهم أكثر من ألف دولار.
عن الاستجابة: حجبت Anthropic وGoogle المفاتيح التي رأتا أنها مكشوفة، وقالت OpenAI إنها عملت مع OpenCode لاستعادة الوصول ورد الأرصدة المستهلكة في الهجوم، وتقول OpenCode إن الاستردادات جارية. ووفق الشركة، المفاتيح المسروقة كانت محصورة في الـConsole؛ التطبيق وسطر الأوامر لم يتأثرا، ولا تصل مفاتيح المستخدمين إلى خوادمها أصلًا حين يستخدمهما.
أما الغموض فكبير: لم تشرح OpenCode كيف دخل المهاجمون ولا كيف كانت المفاتيح مخزّنة ولا حجم الإساءة الكامل، وتقول إن الحادثة مستمرة. ووصفت الشركة الهجوم بأنه «تقطير» (distillation) واسع النطاق، لكن متشككين يرون أنه اختراق عادي لم يثبت بعد استخدامه في التقطير. نسجّل الخلاف كما هو.
إن كنت من المتأثرين: ثلاث خطوات مرتبة
- أوقف المفتاح من لوحة المزوّدطلبت OpenCode من المتأثرين إلغاء المفاتيح واستبدالها مباشرة لدى كل مزوّد. في Claude Console تفتح صفحة المفاتيح (platform.claude.com/settings/keys)، وتضغط القائمة بجوار المفتاح، وتختار «Delete API key»، ثم «Create key» لمفتاح جديد.
- راجع صفحة الاستخدامتنصح OpenAI بمقارنة الاستخدام المعروض بما فعلته فعلًا، وبتدوير المفتاح فورًا من صفحة API Keys إن شككت في تسريبه.
- اطلب الاستردادتقول OpenCode إن الاستردادات جارية، وOpenAI ذكرت أنها سترد الأرصدة المستهلكة في الهجوم لعملائها. راسل المزوّد برقم المفتاح وموعد الرسوم.
ما الذي يحمي مفتاحك قبل الحادثة القادمة؟
تصف توصيات OpenAI الرسمية لسلامة المفاتيح عدة طبقات، وأهمها للمستخدم الفردي ثلاث:
- سقف إنفاق بإنفاذ صارم. تشرح OpenAI أنه يمكن تحديد حد شهري للمؤسسة أو للمشروع وتفعيل الإنفاذ الصارم (hard enforcement)، وأن التنبيهات وحدها لا توقف الطلبات؛ والإنفاذ قد يرفض طلبات مشروعة، وقد يتجاوز الإنفاق الحد قليلًا لأن الإيقاف ليس لحظيًا. وتذكر وثائق Claude أن حدود الإنفاق تضع سقفًا شهريًا للتكلفة على مستوى المؤسسة.
- مفاتيح بتاريخ انتهاء. تنصح OpenAI بمفاتيح مشروع لها تاريخ انتهاء وبتدوير دوري: أنشئ بديلًا، حدّث تطبيقاتك، ثم ألغِ القديم.
- لا تضعه في المتصفح ولا في الشيفرة. تحذّر OpenAI من كشف المفتاح في المتصفحات والتطبيقات، ومن حفظه داخل الشيفرة المرفوعة؛ استخدم متغيرات البيئة أو خدمة أسرار.
عن وكلاء البرمجة ومفاتيحهم نكتب هنا أيضًا: وكلاء ذكاء اصطناعي دخلوا أنظمة هندية بمفاتيح مكشوفة، وكيف يوفّر رصيد API في اشتراك Claude Max ما تدفعه، وكيف تخدع صفحة ويب وكيلك في حقن الأوامر.
هل أحتاج لحذف OpenCode من جهازي؟
لا، بحسب الشركة: التطبيق وسطر الأوامر لم يتأثرا، والمشكلة في منصة الـConsole حيث خُزّنت بعض المفاتيح.
هل يحميني سقف الإنفاق من سرقة المفتاح؟
يحدّ من الخسارة ولا يمنع السرقة؛ لذلك ادمجه مع إلغاء المفتاح فور الشك فيه.
المصادر: TechCrunch، وصفحة Anthropic عن المفتاح المخترق، وتوصيات OpenAI لسلامة المفاتيح، وحدود Claude للمعدّل والإنفاق.
