Yapay Zekâ Kodlama Aracında Güvenlik Alarmı! Kullanıcıların Hesaplarından Binlerce Dolar Harcandı

OpenCode API anahtarları ile ilgili güvenlik ihlali, yapay zekâ araçlarını kullanan geliştiriciler arasında endişeye neden oldu. 19 Ekim 2026’da yayımlanan haberlere göre, açık kaynaklı yapay zekâ kodlama projesi OpenCode’un çevrim içi Console hizmetindeki bazı kullanıcıların üçüncü taraf hizmetlere ait API anahtarları açığa çıkmış olabilir. Bazı kullanıcılar ise hesaplarında yüzlerce, hatta 1.700 doları aşan izinsiz harcamalar bildirdi.

OpenCode kullanıcılarının API anahtarları nasıl tehlikeye girdi?

OpenCode, geliştiricilerin doğal dilde verdikleri talimatlarla kod yazmasına, mevcut kodları anlamasına ve yazılım hatalarını düzeltmesine yardımcı olan bir yapay zekâ aracıdır. Platformun Console hizmeti, kullanıcıların OpenAI, Anthropic ve Google gibi sağlayıcılara ait API anahtarlarını çalışma alanlarında saklamasına olanak tanıyor.

BleepingComputer ve TechCrunch tarafından aktarılan bilgilere göre OpenCode, 17 Ekim’de yaptığı açıklamada büyük ölçekli bir model damıtma saldırısıyla bağlantılı güvenlik ihlali yaşadığını duyurdu. Şirket, olayın Console kullanıcılarının yüzde 1,4’ünü etkilediğini ve etkilenen kişilere e-posta gönderildiğini bildirdi.

OpenCode API anahtarları konusunda asıl risk, bu kimlik bilgilerinin başka kişiler tarafından kullanılması hâlinde kullanıcıların yapay zekâ hizmetlerindeki hesapları üzerinden izinsiz işlem yapılabilmesi. API anahtarları, ilgili sağlayıcının sunduğu hizmetlere erişim sağladığından, kötüye kullanım beklenmedik faturalar doğurabiliyor.

Bazı kullanıcılar 1.700 doları aşan harcamalar bildirdi

Güvenlik ihlalinin ardından bazı geliştiriciler, yapay zekâ hizmetlerine ilişkin hesaplarında olağan dışı harcamalar gördüklerini bildirdi. BleepingComputer’ın aktardığı kullanıcı bildirimleri arasında bir gecede 1.700 doları aşan tutarlar da yer aldı. Bazı kullanıcılar, Google Cloud projelerinin şüpheli faaliyet nedeniyle askıya alındığını da belirtti. Bu rakamlar kullanıcı bildirimlerine dayanıyor; OpenCode toplam zarara ilişkin kesin bir tutar açıklamış değil.

OpenCode’un kurucu ortağı Dax Raad, saldırganların şirket sistemlerini yaklaşık 48 saat boyunca hedef aldığını söyledi. Şirketin açıklamasına göre olayın etkilerini azaltmak için OpenAI, Google ve Anthropic ile birlikte çalışılıyor.

Burada önemli bir ayrım var: Bildirilen ihlal, Console hizmetinde saklanan sağlayıcı anahtarlarıyla ilgili. OpenCode’un yerel uygulaması ve komut satırı aracının aynı ihlalden etkilendiği belirtilmedi. Bu nedenle olayın bütün kullanıcıları kapsadığı sonucuna varmak doğru olmaz.

Yapay zekâ araçları geliştiriciler için yeni bir güvenlik riski mi?

Olayda adı geçen “model damıtma”, güçlü bir yapay zekâ modelinin ürettiği yanıtlardan yararlanarak daha küçük bir model eğitmek için kullanılan bir teknik. Bu yöntem tek başına yasa dışı veya kötü niyetli değil. Ancak büyük ölçekte ve yetkisiz biçimde yürütülen sorgular, hizmet sağlayıcıların kullanım koşullarını ve güvenlik önlemlerini ihlal edebilir.

OpenCode olayıyla ilgili saldırının bu amaçla bağlantılı olduğu açıklansa da saldırının bütün teknik ayrıntıları ve anahtarların tam olarak nasıl açığa çıktığı kamuoyuyla paylaşılmış değil. Dolayısıyla olayın tüm nedenlerinin kesin olarak ortaya çıkarıldığını söylemek için henüz erken.

OpenCode API anahtarları gibi erişim bilgilerini çevrim içi çalışma alanlarında saklayan geliştiriciler için temel ders, bu anahtarları düzenli olarak kontrol etmek ve olağan dışı kullanımları takip etmek. Bir güvenlik ihlalinden etkilendiği bildirilen kullanıcıların, ilgili sağlayıcı panelinden eski anahtarlarını iptal ederek yenilerini oluşturması ve kullanım kayıtlarını incelemesi gerekiyor.

Yapay zekâ kodlama araçları yazılım geliştirme sürecini hızlandırırken, bu araçların kullandığı erişim bilgilerinin korunması da giderek daha önemli hâle geliyor. OpenCode API anahtarları vakası, yalnızca kod yazma araçlarının değil, bunlara bağlanan hizmetlerin ve hesapların da güvenlik zincirinin bir parçası olduğunu gösteriyor.

Siz yapay zekâ araçlarına API anahtarlarınızı emanet eder miydiniz?

Kaynak;

1. BleepingComputer — OpenCode hack exposes API keys amid AI distillation attacks
   https://www.bleepingcomputer.com/news/security/opencode-hack-exposes-api-keys-amid-ai-distillation-attacks/
2. TechCrunch — Hackers hit AI coding tool OpenCode, running up charges on users’ AI accounts
   https://techcrunch.com/2026/10/19/hackers-hit-ai-coding-tool-opencode-running-up-charges-on-users-ai-accounts/
3. The Hacker News — OpenCode Console Breach May Have Exposed OpenAI And Anthropic API Keys
   https://thehackernews.com/2026/10/opencode-console-breach-may-have.html