إذا ربطت مفاتيح OpenAI أو Anthropic أو Google في OpenCode Console، فاعتبرها مكشوفة وبدّلها اليوم. قالت OpenCode إن اختراقًا ليلة 16 أكتوبر 2026 أثّر في 1.4% من مستخدمي Console، وإن مفاتيح المزودين المحفوظة عندهم «قد تكون انكشفت».
هذا الخبر منسوب إلى الشركة وبحالة 19 أكتوبر، وليس حصيلة نهائية.
الخلاصة أولًا
- النطاق: 1.4% من مستخدمي OpenCode Console، والتبليغ بالبريد للمتأثرين فقط.
- ما قد يكون انكشف: مفاتيح مزودي النماذج، مثل OpenAI وAnthropic، المحفوظة في مساحة العمل.
- ما لم يتأكد: سبب الحادث، وحجم الاستخدام غير المصرح به، وهوية المهاجم، وسياسة التعويض.
- ما تفعله الآن: ألغِ مفاتيح المزودين المرتبطة بـConsole وأنشئ مفاتيح جديدة، وراجع استخدامك لدى كل مزود.
ماذا قالت OpenCode بالضبط؟
لم يتوفر لنا نص البيان الأصلي على X ولا في موقع الشركة. ما يلي منقول عن تغطيات صحفية تقتبسه، فراجع الأصل متى أمكنك.
| النقطة | ما نُسب إلى OpenCode |
|---|---|
| النطاق | الاختراق «أثّر في 1.4% من مستخدمي OpenCode Console» |
| التبليغ | أُرسل بريد لكل المتأثرين، و«إن لم يصلك بريد فلست متأثرًا» |
| ما قد يكون انكشف | مفاتيح مزودي نماذج، مثل OpenAI وAnthropic، محفوظة في مساحة العمل، بحسب رسالة المستخدمين التي نقلتها Infosecurity Magazine |
| مصدر الوصول | وصول غير مصرح به إلى «نظام قديم» كانت الشركة بصدد إيقافه، بحسب الرسالة نفسها |
| التفاصيل | نقلت StepSecurity أن الشركة قالت إنها لا تستطيع مشاركة المزيد في هذه المرحلة |
وتربط OpenCode الحادث بـ«هجوم تقطير نماذج واسع النطاق»، أي large scale distillation attack. هذا وصف الشركة نفسها، ولم تتحقق منه جهة أخرى ولم تنسبه إلى طرف بعينه.
هل أنا معني إن استخدمت OpenCode؟
ليس بالضرورة. المعنيون بحسب المنقول هم من ربطوا مفاتيح مزودين في Console. وقال المؤسس المشارك Dax Raad في 17 أكتوبر، كما نقلت IBTimes، إن الحادث يخص «Console لا OpenCode نفسه»، وإن تلك المفاتيح «لا تصل إلينا» بالنسبة لـOpenCode.
- تضيف IBTimes أن المفاتيح المضافة في تطبيقات CLI وسطح المكتب تُخزَّن محليًا. هذه تفصيلة من المنفذ لا اقتباس من الشركة.
- لا شيء في المصادر يثبت اختراق بنية OpenAI أو Anthropic أو Google نفسها.
- لا شيء يثبت أن كل مستخدم لـOpenCode متأثر.
كيف تسلسلت الأحداث؟
| التاريخ | ما نُقل |
|---|---|
| ليلة 16 أكتوبر | الاختراق بحسب OpenCode (الساعة غير مذكورة) |
| 17 أكتوبر | منشور OpenCode على X وبريد للمتأثرين «هذا الصباح» بحسب Infosecurity وIBTimes |
| 18 أكتوبر | نشرت StepSecurity مدونتها عن الحادث |
| 19 أكتوبر | تغطية Infosecurity وIBTimes. وتصف الشركة الحادث بأنه مستمر وأنها تعمل مع المزودين الثلاثة، OpenAI وAnthropic وGoogle، بحسب StepSecurity وIBTimes. |
الدرس العملي من هذا الجدول: الحادث ما زال مفتوحًا، فلا تنتظر إعلان نهايته قبل تدوير مفاتيحك.
ماذا قال المزودون، وما الذي هو بلاغات أفراد؟
- نقلت IBTimes عن Lydia Hallie من Anthropic أن الشركة عملت مع OpenCode وألغت مفاتيح Claude التي يُعتقد أنها متأثرة، ونصحت بإنشاء مفتاح جديد احتياطًا.
- ذُكر أن أحد مسؤولي OpenAI قال إن الاعتمادات المستهلكة في الهجوم ستُسترد. هذا منقول عن ملخص بحث ولم يُفتح المنشور الأصلي، فلا تبنِ عليه.
- تنقل IBTimes عن مستخدمين بلاغات عن رسوم غير متوقعة على حساباتهم لدى المزودين. هي بلاغات أفراد لا يثبت ارتباطها بالحادث، فلا تُجمع لتقدير خسارة كلية.
- تقول Infosecurity إن رسالة الإشعار تداولها مستخدمون علنًا على Reddit وDiscord، وإنه لم يُنقل رد من الشركة عند طلب التعليق.
تنبيه عن المصدر: StepSecurity تبيع منتجًا أمنيًا وتعتمد على بيان OpenCode، فمدونتها ليست تحقيقًا مستقلًا في سبب الحادث.
ماذا تفعل الآن خطوة بخطوة؟
الخطوات من 1 إلى 5 توصيات المصادر المنقولة، وليست نصيحة قانونية أو مالية:
- ألغِ مفاتيح OpenAI وAnthropic وGoogle المرتبطة بـConsole من لوحة كل مزود، وأنشئ مفاتيح جديدة. وبحسب IBTimes فحذف المفتاح من Console لا يلغيه عند المزود.
- راجع استخدام الحساب لدى المزود بحثًا عن طلبات لم تُجرِها، بدءًا من 16 أكتوبر بحسب إرشادات نقلتها Infosecurity.
- أنشئ مفاتيح بديلة مقيَّدة الصلاحيات بحدود إنفاق، بحسب الإرشادات نفسها.
- حدّث المفاتيح في بيئات التشغيل المستمر، أي CI/CD، وفي ملفات البيئة، وتأكد أن المفتاح الملغى يفشل في المصادقة.
- ابحث في بريدك عن رسالة بعنوان «Action Required: Potential provider key breach» كما ذُكر في Infosecurity.
ونقترح خطوة سادسة من عندنا: إن استخدمت المفتاح نفسه في أكثر من أداة، فبدّله في كل مكان دفعة واحدة حتى لا يبقى نسخة قديمة تعمل في مشروع منسي.
ما الذي لم يتأكد بعد؟
لم تتضح بعد طريقة وصول المهاجم إلى النظام القديم ومدة الوصول، ولا عدد المستخدمين أو المفاتيح بالأرقام المطلقة، ولا هل نُسخت المفاتيح أو استُخدمت. كذلك لا تعويض منشورًا من OpenCode، ولم تفصح الشركة عن بيانات أخرى غير مفاتيح المزودين بحسب StepSecurity.
أسئلة وأجوبة
هل اختُرق مزودو النماذج أنفسهم؟
لا. المصادر تتحدث عن مفاتيح محفوظة في حسابات Console، لا عن اختراق أنظمة OpenAI أو Anthropic أو Google.
هل يتأثر من يستخدم OpenCode محليًا فقط؟
بحسب ما نقلته IBTimes عن الشركة، الحادث يخص Console لا OpenCode نفسه، والمفاتيح المضافة في تطبيقات CLI وسطح المكتب تُخزَّن محليًا. يبقى الخطر على من ربط مفاتيحه في Console.
كيف أعرف أنني متأثر؟
بحسب OpenCode، من لم يصله بريد فليس متأثرًا. ومع ذلك نقترح مراجعة استخدامك لدى كل مزود، فهي أسرع فحص مستقل.
هل يكفي حذف المفتاح من Console؟
لا. بحسب IBTimes، حذف المفتاح من Console لا يلغيه عند المزود، فيجب إلغاؤه من لوحة المزود نفسه.
هل أنتظر تعويضًا قبل التحرك؟
لا. لم تنشر OpenCode سياسة تعويض، وما قيل عن استرداد الاعتمادات لم يتأكد من مصدره الأصلي. بدّل المفاتيح أولًا ثم تابع الرسوم.
مصطلحات بلغة مبسطة
- مفتاح API: رمز سري يتيح لتطبيقك استخدام خدمة مزود النماذج على حسابك.
- تدوير المفتاح: إلغاء المفتاح القديم عند المزود وإنشاء مفتاح جديد بدله.
- CI/CD: أنظمة تبني البرنامج وتنشره تلقائيًا وقد تحتفظ بمفاتيحك.
- هجوم التقطير: توصيف الشركة للحادث، ولم يتحقق منه طرف آخر.
المصادر
- Infosecurity Magazine: OpenCode breach
- IBTimes Singapore: OpenCode breach
- StepSecurity: OpenCode security breach (للناشر منتج أمني)
الحالة بتاريخ 19 أكتوبر 2026. لم يُفتح بيان OpenCode الأصلي ولا مقالة Notebookcheck، والاقتباسات منقولة عن تغطيات. تتغير تفاصيل الحادث وحالة المعالجة، فراجع الإفصاح الرسمي.
