2 phút đọc

Key AI của bạn đang bị săn để xài chùa

Vụ OpenCode Console bị xâm nhập và mã độc Aoki lùng file cấu hình của công cụ code AI cho thấy key AI giờ là thứ đáng tiền nhất trên máy dân code. Năm việc nên làm ngay.

Key AI giờ đang là thứ đáng tiền nhất trên máy của dân code, và mấy ngày qua có hai vụ cho thấy điều đó rất rõ.

Vụ thứ nhất: OpenCode Console bị xâm nhập

OpenCode là một coding agent mã nguồn mở khá nhiều người dùng. Hệ thống OpenCode Console, nơi một số người lưu key OpenAI, Anthropic, Google, bị xâm nhập qua đêm, ảnh hưởng 1,4% người dùng Console.

Sáng ra nhiều người nhận thông báo chi tiêu, có tài khoản bị trừ vài trăm đô, vài người bị trừ hơn 1.000 đô. Anthropic và Google đã chặn các key bị lộ, OpenAI thì hoàn tiền phần bị xài chùa.

Bản app và bản dòng lệnh của OpenCode không bị ảnh hưởng, vì key ở đó không gửi lên server của họ. Chỉ những ai đã dán key vào bản web Console mới dính.

Vụ thứ hai: mã độc Aoki lùng file của công cụ code AI

Ngày 15/10, Symantec báo cáo một con mã độc đánh cắp thông tin tên Aoki vừa được nâng cấp để lùng riêng thông tin đăng nhập của công cụ code AI. Nó lấy:

  • file .claude.json, cookie của Claude và ChatGPT
  • config.toml và .env của Codex
  • token của Copilot, Cursor, Gemini, Kiro
  • cả thông tin đăng nhập AWS

Có key rồi thì hacker xài quota của bạn, bán lại, hoặc tùy quyền của key mà đi tiếp vào repo, cloud, CI/CD.

Chung một bài học

Hai vụ khác nhau nhưng chung một điều: key AI không còn là chuyện vài đô tiền test nữa. Nó là ví tiền, và là chìa khóa vào code của bạn.

Năm việc nên làm ngay hôm nay

Đặt hạn mức chi tiêu và bật cảnh báo trên trang quản lý của từng nhà cung cấp. Bị lộ thì cùng lắm mất đúng hạn mức đó, và bạn biết sớm.

Mỗi công cụ, mỗi project một key riêng. Lộ chỗ nào thu hồi chỗ đó, không phải đổi cả loạt.

Cân nhắc trước khi dán key vào web hay dịch vụ của bên thứ ba. Mỗi nơi giữ key là thêm một chỗ có thể bị hack, như vụ OpenCode Console.

Dọn các key cũ không dùng nữa. Key nằm quên trong .env của một project bỏ dở vẫn là key sống.

Giữ máy sạch. Mã độc kiểu Aoki chạy trên chính máy bạn, nên phần mềm crack hay file cài đặt không rõ nguồn là cửa vào dễ nhất.

Bạn đã đặt hạn mức chi tiêu cho key AI chưa? Có ai từng bị trừ tiền lạ rồi không? Kể trong cộng đồng Vibe Code & Bảo Mật nhé.

Nguồn

Chia sẻ lên Facebook

Bình luận

Đang tải bình luận…