Một sự cố rò rỉ được báo cáo tại OpenCode đã đặt các khóa API OpenAI và Anthropic được lưu trữ vào vòng nguy hiểm, và lời khuyên từ các bài đưa tin về sự cố này rất trực tiếp: hãy xoay vòng chúng. Nếu bạn từng dán khóa của nhà cung cấp AI vào một công cụ bên thứ ba, xoay vòng khóa API sau sự cố rò rỉ OpenCode là việc đáng làm ngay hôm nay, bất kể bạn có dùng OpenCode hay không.
Một lưu ý về những gì chúng ta biết. Nguồn đưa tin còn mỏng về chi tiết kỹ thuật, và nội dung chúng tôi có không mô tả vụ xâm nhập đã xảy ra như thế nào, bao nhiêu người dùng bị ảnh hưởng, hay liệu có khóa nào được xác nhận là đã bị lạm dụng hay không. Chúng tôi sẽ bám sát những gì được báo cáo và coi phần còn lại là chưa rõ.
Sự cố rò rỉ OpenCode đã làm lộ những gì
Theo Startup Fortune, sự cố rò rỉ OpenCode được báo cáo đã làm lộ các khóa OpenAI và Anthropic được lưu trữ và thúc đẩy các lời kêu gọi xoay vòng khóa khẩn cấp. Bản thân tiêu đề đã mang ý chính: thứ bị lộ là thông tin xác thực, không chỉ là chi tiết tài khoản.
Sự khác biệt đó quan trọng. Khóa API là thông tin xác thực dạng bearer. Ai giữ nó thường có thể gửi yêu cầu với tư cách bạn, làm tăng mức sử dụng trên hóa đơn của bạn, và trong một số thiết lập có thể đọc dữ liệu gắn với tài khoản của bạn. Khác với mật khẩu, khóa thường không có yếu tố xác thực thứ hai bảo vệ, và không có gì trong yêu cầu cho nhà cung cấp biết rằng nó đến từ một người khác.
Vì các báo cáo hiện có không xác nhận việc bị lạm dụng, giả định an toàn nhất rất đơn giản: nếu một khóa đã được lưu trong một công cụ bị ảnh hưởng, hãy coi nó là đã bị xâm phạm cho đến khi bạn thay thế nó.
Cách khóa API được lưu trữ rơi vào tay kẻ tấn công
Các trợ lý lập trình AI và công cụ dành cho nhà phát triển cần khóa của bạn để hoạt động. Chúng thường giữ khóa trong tệp cấu hình, cài đặt cục bộ hoặc tài khoản được lưu trữ để bạn không phải nhập lại. Sự tiện lợi đó tạo ra một điểm tập trung các bí mật có giá trị ở một nơi.
Khi một công cụ hoặc dịch vụ đứng sau nó bị xâm phạm, những bí mật đó có thể rời đi cùng mọi thứ khác. Một nhà cung cấp bị xâm phạm duy nhất có thể làm lộ khóa cho nhiều nhà cung cấp khác nhau cùng lúc, đó là điều khiến loại sự cố này hấp dẫn đối với kẻ tấn công. Chúng không cần đột nhập vào OpenAI hay Anthropic. Chúng chỉ cần chạm tới nơi mà người dùng đã để lại khóa.
Bài học không phải là bất kỳ công cụ nào đặc biệt bất cẩn. Mà là mỗi nơi bạn lưu khóa là thêm một nơi có thể thất bại, và bạn hiếm khi kiểm soát được bảo mật của nó.
Vì sao tống tiền đánh cắp dữ liệu khiến việc lộ thông tin xác thực tốn kém hơn
Thời điểm của câu chuyện này khớp với một sự chuyển dịch rộng hơn. Một báo cáo mới của Coveware by Veeam cho biết các băng nhóm ransomware ngày càng bỏ qua mã hóa để chuyển sang tống tiền thuần túy bằng đánh cắp dữ liệu. Khoản thanh toán tiền chuộc trung bình trong quý 2 năm 2026 tăng 176% lên 1,88 triệu USD, dù khoản thanh toán trung vị giảm. Báo cáo nêu tên các nhóm như Silent Ransom và Scattered Spider là những nhóm sử dụng kỹ thuật xã hội nhắm vào bộ phận trợ giúp.
Vì sao điều đó liên quan đến khóa bị lộ? Khi kẻ tấn công không cần khóa hệ thống, chúng có thể tập trung vào việc âm thầm thu thập dữ liệu và thông tin xác thực, rồi gây áp lực lên nạn nhân bằng mối đe dọa rò rỉ. Bí mật bị đánh cắp trở thành cả đòn bẩy lẫn cách xâm nhập. Một khóa nằm không dùng trong một kho lưu trữ bị rò rỉ có thể được thử nghiệm sau này, bán đi, hoặc dùng để tiếp cận thêm dữ liệu.
Mô thức này có thể thấy trong các sự cố gần đây. Trong vụ rò rỉ dữ liệu hộ chiếu của LT Group bởi ransomware Deadlock, câu chuyện xoay quanh các tệp bị đánh cắp chứ không phải máy bị khóa. Tương tự, cuộc tấn công ransomware Play nhắm vào công ty Ireland Barrett Mahony Engineers cho thấy các tổ chức quy mô vừa vẫn nằm ngay trên đường đi của các nhóm này. Khi dữ liệu bị đánh cắp bao gồm thông tin xác thực còn hoạt động, thiệt hại có thể lan xa hơn nạn nhân ban đầu.
Cách xoay vòng và hạn chế thiệt hại từ khóa AI bị lộ
Xoay vòng nghĩa là tạo khóa mới và cho khóa cũ nghỉ hưu. Làm đúng thứ tự sẽ tránh được gián đoạn.
- Kiểm kê nơi khóa được lưu. Kiểm tra cấu hình công cụ, tệp môi trường, cài đặt CI và bất kỳ ứng dụng nào bạn đã dán khóa vào.
- Tạo khóa mới trong bảng điều khiển OpenAI hoặc Anthropic của bạn, lý tưởng nhất là mỗi công cụ hoặc dự án một khóa để bạn có thể thu hồi riêng lẻ.
- Cập nhật các công cụ thực sự cần truy cập bằng khóa mới.
- Thu hồi khóa cũ chỉ sau khi khóa thay thế đã hoạt động.
- Xem xét mức sử dụng và hóa đơn để tìm hoạt động bất thường trong khoảng thời gian bị lộ.
Sau đó giảm thiểu những gì một vụ rò rỉ trong tương lai có thể làm:
- Đặt giới hạn chi tiêu và hạn mức sử dụng cho từng khóa ở nơi nhà cung cấp cho phép.
- Dùng khóa riêng cho thử nghiệm và cho công việc sản xuất.
- Ưu tiên thông tin xác thực ngắn hạn hoặc có phạm vi giới hạn hơn là khóa chính tồn tại lâu dài.
- Tránh dán khóa vào những công cụ bạn không thực sự cần.
Điều này có ý nghĩa gì với bạn
Nếu bạn dùng OpenCode và đã lưu khóa OpenAI hoặc Anthropic trong đó, hãy xoay vòng các khóa đó ngay bây giờ và kiểm tra nhật ký sử dụng của bạn. Nếu bạn không dùng OpenCode, logic tương tự cũng áp dụng cho bất kỳ công cụ bên thứ ba nào giữ thông tin xác thực của bạn.
Bức tranh rộng hơn là việc đánh cắp thông tin xác thực ngày càng có giá trị, chứ không phải ít đi. Với các nhóm tống tiền dựa vào dữ liệu bị đánh cắp thay vì mã hóa, như các phát hiện của Coveware by Veeam gợi ý, một khóa bị rò rỉ không còn là chuyện phiền toái nhỏ. Dữ liệu mối đe dọa theo khu vực cũng chỉ về hướng tương tự: báo cáo của Cisco Talos về hoạt động ransomware gia tăng tại Nhật Bản cũng nhấn mạnh cách các tổ chức nhỏ hơn hứng chịu phần lớn tác động.
Những điểm cần hành động
- Coi bất kỳ khóa nào được lưu trong một công cụ bị ảnh hưởng là đã bị lộ và thay thế nó.
- Biến việc xoay vòng khóa API sau sự cố rò rỉ OpenCode thành thói quen thường xuyên, không phải phản ứng một lần.
- Dùng một khóa cho mỗi công cụ, kèm giới hạn chi tiêu, để một vụ rò rỉ có bán kính ảnh hưởng hạn chế.
- Xem xét dữ liệu và bí mật mà mỗi công cụ bên thứ ba nắm giữ, và xóa những gì bạn không cần.
- Kiểm tra bảng điều khiển của nhà cung cấp để phát hiện mức sử dụng bất thường sau bất kỳ sự cố rò rỉ nào được báo cáo.
Hãy bắt đầu bằng việc liệt kê mọi công cụ giữ khóa AI, xoay vòng những khóa bạn không thể bảo đảm, và đọc các bài đưa tin liên quan về các sự cố tống tiền đánh cắp dữ liệu ở trên để thấy dữ liệu bị đánh cắp thường được sử dụng như thế nào sau khi rời khỏi tay bạn.
