OpenCode bị tấn công: Lộ khóa API, người dùng bị tính phí hàng nghìn USD

OpenCode, công cụ lập trình AI mã nguồn mở đang nổi lên như một đối thủ của Claude Code và Cursor, vừa xác nhận bị xâm nhập hệ thống trong đêm. Kẻ tấn công đã đánh cắp khóa API của một phần người dùng trên nền tảng OpenCode Console, khiến nhiều tài khoản phát sinh chi phí bất thường. Đáng chú ý, chính các mô hình AI mà đội ngũ công ty nhờ hỗ trợ phân tích lại từ chối xử lý đoạn mã độc.

Sự cố xảy ra thế nào?

Theo thông báo trên X, OpenCode cho biết kẻ tấn công đã xâm nhập một hệ thống cũ, ảnh hưởng tới 1,4% người dùng OpenCode Console — nơi một số người dùng lưu khóa API để truy cập các dịch vụ AI. Toàn bộ người dùng bị ảnh hưởng đã được gửi email thông báo; ai không nhận được email thì không nằm trong diện bị tác động.

Công ty gọi đây là một "cuộc tấn công chưng cất quy mô lớn" (distillation attack) — hình thức lợi dụng khóa API bị rò rỉ để tạo ra lượng lớn đầu ra từ các mô hình AI phục vụ mục đích huấn luyện. Tuy nhiên, không ít chuyên gia hoài nghi cách định nghĩa này, cho rằng đây đơn thuần là một vụ xâm nhập và chưa có bằng chứng cho thấy mục đích chưng cất.

Người dùng mất tiền thật

Ngay trong đêm, hàng loạt lập trình viên phản ánh trên Reddit và X về các khoản phí bất thường:

• Một người dùng cho biết cảnh báo chi tiêu từ OpenAI, Anthropic và Google AI đồng loạt kích hoạt trước giờ đi ngủ.
• Nhiều tài khoản bị tính hàng trăm USD, một số trường hợp vượt 1.000 USD.

Phía các nhà cung cấp AI cũng đã vào cuộc: Anthropic và Google chặn các khóa API bị nghi lộ, trong khi OpenAI phối hợp với OpenCode khôi phục quyền truy cập và hoàn tiền cho khách hàng bị lạm dụng tín dụng. OpenCode khẳng định quá trình hoàn tiền đang được triển khai.

Ứng dụng mã nguồn mở không bị ảnh hưởng

Đồng sáng lập Dax Raad nhấn mạnh phạm vi ảnh hưởng chỉ giới hạn ở OpenCode Console — nơi một số người dùng lưu khóa trong không gian làm việc — chứ không liên quan đến ứng dụng mã nguồn mở hay công cụ dòng lệnh.

"Lưu ý rằng đây là OpenCode Console, không phải bản thân OpenCode. Những khóa đó không bao giờ đi qua chúng tôi."

Đây là điểm an ủi với cộng đồng lập trình viên Việt Nam đang dùng OpenCode như công cụ miễn phí thay thế các dịch vụ trả phí, nhưng cũng là lời nhắc nhở về việc quản lý khóa API cẩn trọng.

Nghịch lý của bộ lọc an toàn AI

Điều đáng bàn nhất trong vụ việc là cách các mô hình AI phản ứng khi được nhờ hỗ trợ phòng thủ. Raad cho biết kẻ tấn công liên tục dòm ngó hệ thống suốt 48 giờ, buộc đội ngũ phải duy trì các tác nhân AI phòng vệ hoạt động liên tục.

Các mô hình AI mà công ty sử dụng ban đầu hỗ trợ khá tốt, nhưng bắt đầu từ chối khi đoạn mã độc cần phân tích kích hoạt bộ lọc an toàn. Điều này khiến quá trình điều tra bị gián đoạn.

OpenCode sau đó được cấp quyền truy cập chương trình Daybreak Blue của OpenAI — chương trình dành cho người dùng đã được thẩm định, cung cấp các mô hình ít từ chối hơn trong các tác vụ bảo mật phòng thủ. Nhờ vậy, đội ngũ mới phân tích được vụ việc hiệu quả hơn.

Đây không phải lần đầu tiên doanh nghiệp vấp phải rào cản này. Hồi tháng 7, nền tảng Hugging Face cũng cho biết các mô hình AI thương mại đã chặn nỗ lực phân tích nhật ký từ một cuộc xâm nhập do tác nhân AI tự động thực hiện. Trong bài blog, họ gọi đây là "vấn đề bất đối xứng": các rào chắn an toàn "không thể phân biệt người ứng cứu sự cố với kẻ tấn công".

Phản ứng từ giới công nghệ

Vụ việc đã thu hút sự chú ý của David Sacks, đồng chủ tịch Hội đồng Cố vấn Khoa học và Công nghệ trong chính quyền Mỹ:

"OpenCode (và trước đó là Hugging Face) đều gặp cùng một bức tường giữa cuộc tấn công: các mô hình tiên tiến từ chối phân tích chính những lỗ hổng cần thiết cho phòng thủ vì đoạn mã kích hoạt bộ lọc an toàn. Các rào chắn đã phản tác dụng."

Nhiều nhà nghiên cứu bảo mật cũng phàn nàn rằng các giới hạn này thiếu nhất quán, đẩy một số người chuyển sang dùng mô hình mở từ nước ngoài — loại ai cũng có thể tải về và chạy cục bộ.

Bối cảnh rộng hơn

Vụ xâm nhập xảy ra đúng đêm OpenCode miễn phí GLM-5.3-Flash cho người dùng. Dòng GLM-5.3 đang thu hút sự chú ý của giới nghiên cứu nhờ năng lực an ninh mạng tiệm cận các mô hình hạn chế truy cập như Claude Mythos Preview của Anthropic.

Đáng lo ngại hơn, sự cố diễn ra trong bối cảnh hàng loạt vụ tấn công mạng có sự hỗ trợ của AI:

• Đầu tháng này, CrowdStrike cho biết một hacker có khả năng đến từ Trung Quốc đã dùng tác nhân AI kiểm thử xâm nhập và Claude để tấn công các ngân hàng Hàn Quốc.
• Tuần trước, cơ quan an ninh mạng Ấn Độ cảnh báo các tác nhân AI đã xâm nhập hệ thống của các tổ chức nước này mà không được phép.

OpenCode hiện chưa công bố chi tiết cách kẻ tấn công xâm nhập, cách lưu trữ khóa hay mức độ lạm dụng đầy đủ. Công ty khuyến nghị người dùng bị ảnh hưởng thu hồi và thay thế khóa trực tiếp với từng nhà cung cấp dịch vụ, đồng thời cho biết sự cố vẫn đang tiếp diễn.

Với các lập trình viên Việt Nam đang dùng khóa API của OpenAI, Anthropic hay Google cho các dự án cá nhân, đây là lời nhắc nhở: hãy kiểm tra lại quyền hạn của khóa, đặt giới hạn chi tiêu và ưu tiên lưu trữ khóa cục bộ thay vì trên nền tảng bên thứ ba.