--- title: "Hackerlar Yapay Zeka Kodlama Aracı OpenCode'u Vurdu: Kullanıcıların Yapay Zeka Hesaplarında Yüksek Faturalar Oluştu" url: https://blog.edumints.com/hackerlar-yapay-zeka-kodlama-araci-opencode-u-vurdu-kullanicilarin category: "Yapay Zeka" date: 2026-10-20T09:05:33.805Z publisher: Edumints Blog lang: tr-TR source_name: "techcrunch.com" source_url: https://techcrunch.com/2026/10/19/hackers-hit-ai-coding-tool-opencode-running-up-charges-on-users-ai-accounts/ --- # Hackerlar Yapay Zeka Kodlama Aracı OpenCode'u Vurdu: Kullanıcıların Yapay Zeka Hesaplarında Yüksek Faturalar Oluştu ## Saldırının Anatomisi ve OpenCode Console İhlali Claude Code ve Cursor gibi popüler araçlara açık kaynaklı bir alternatif olarak hızla yükselen yapayzeka kodlama ajanı **OpenCode**, çevrimiçi platformunu hedef alan ciddi bir güvenlik ihlali yaşadı. Saldırganlar, eski bir sisteme sızarak kullanıcıların yapay zeka servislerine erişmek için kullandıkları dijital parolaları, yani API anahtarlarını sakladıkları **OpenCode Console** platformundaki kullanıcıların %1,4'ünü etkiledi. Şirket, X üzerinden yaptığı açıklamada olayın geniş çaplı bir **damıtma (distillation) saldırısı** ile bağlantılı olduğunu ve etkilenen tüm kullanıcılara e-posta yoluyla bildirim yapıldığını duyurdu. Damıtma saldırısının nasıl gerçekleştiği detaylandırılmasa da sızdırılan API anahtarları, Amerikan modellerine erişimi kısıtlı olan ülkelerdeki kullanıcıların bu süreç için gereken yüksek hacimli çıktıları üretmesine olanak tanıyabiliyor. Bazı şüpheciler ise bu tanımlamayı abartılı bularak, olayın damıtma amacıyla kullanıldığı kanıtlanmamış doğrudan bir veri ihlali olduğunu savundu. ## Geliştiricilere Yansıyan Maliyetler ve Platformun Kapsamı Saldırının ardından geliştiriciler Reddit ve X üzerinde harcama uyarıları ve yetkisiz çekimler paylaşmaya başladı: - Bir geliştirici yatmadan hemen önce **OpenAI, Anthropic ve Google AI** harcama uyarılarının aynı anda tetiklendiğini belirtti. - Bazı kullanıcılar bireysel hesaplarında yüzlerce dolarlık, birkaç kullanıcı ise **1.000 doların üzerinde** yetkisiz harcama oluştuğunu bildirdi. - **Anthropic ve Google**, ifşa olduğuna inandıkları API anahtarlarını hızla engellerken; **OpenAI**, erişimi yeniden sağlamak ve saldırıda kullanılan kredileri müşterilerine iade etmek için OpenCode ile birlikte çalıştığını açıkladı. OpenCode da yetkisiz harcamalar için geri ödemelerin sürdüğünü doğruladı. Kurucu ortak Dax Raad, sızdırılan anahtarların yalnızca bazı kullanıcıların çalışma alanlarında (workspaces) anahtar sakladığı **OpenCode Console** ile sınırlı olduğunu vurguladı. Açık kaynaklı uygulamanın ve komut satırı aracının (CLI) bu durumdan etkilenmediğini, yerel kullanımda anahtarların kendilerine hiç ulaşmadığını belirtti. ## Yapay Zeka Destekli Savunmada Güvenlik Filtresi Çıkmazı Kullanıcılar ve yapay zeka şirketleri sızan anahtarları devre dışı bırakmak için harekete geçerken, OpenCode ekibi 48 saat boyunca aralıksız süren saldırılara karşı savunma ajanlarını 7/24 çalışır durumda tutmak zorunda kaldı. Ancak bu süreç, sektörde büyüyen kritik bir sorunu gözler önüne serdi: - OpenCode ekibinin analiz için başvurduğu yapay zeka modelleri bir süre yardımcı olsa da incelenmesi istenen kötü amaçlı kodlar **güvenlik filtrelerini (safety filters)** tetikleyince çalışmayı reddetmeye başladı. - Güvenlik kısıtlamaları daha az olan modellere onaylı erişimi bulunmayan şirketlerin, büyük ölçekli ve yapay zeka destekli siber saldırılara karşı savunma yapmakta ne kadar zorlandığı ortaya çıktı. OpenCode daha sonra bu engeli aşmak için OpenAI’ın **Daybreak Blue** programına erişim sağladı. ## Yazılım Geliştiriciler İçin Pratik Çıkarımlar Bu olay, yapay zeka entegrasyonu yapan her geliştirici ve mühendislik ekibi için kritik dersler barındırıyor: - **Sert Harcama Limitleri (Hard Limits) Belirleyin:** OpenAI, Anthropic ve Google AI hesaplarınızda sadece bildirim uyarıları değil, aylık maksimum harcama tavanları tanımlayın. - **Yerel ve Bulut Ayrımını İyi Yapın:** Açık kaynaklı CLI araçlarını kullanırken API anahtarlarınızı mümkün olduğunca yerel ortam değişkenlerinde tutun; bulut çalışma alanlarına yüklediğiniz anahtarların üçüncü taraf saldırı yüzeyine dahil olduğunu unutmayın. - **Anahtar Rotasyonu ve Yetki Kısıtlaması:** Üretim ve geliştirme ortamları için ayrı API anahtarları kullanın ve şüpheli durumlarda anında iptal (revoke) mekanizmalarını devreye sokun. --- Bu konuyu derinlemesine öğrenmek isterseniz: [API Anahtarı](https://edumints.com/kesfet/google-ai-studio-kullanm-rehberi-joou) modülüne göz atın. --- **Kaynak:** techcrunch.com (https://techcrunch.com/2026/10/19/hackers-hit-ai-coding-tool-opencode-running-up-charges-on-users-ai-accounts/) **Yayıncı:** [Edumints Blog](https://blog.edumints.com) · Alıntılarken bu URL'ye bağlantı verin: https://blog.edumints.com/hackerlar-yapay-zeka-kodlama-araci-opencode-u-vurdu-kullanicilarin