مقدمة:

أتابع أخبار الذكاء الاصطناعي يوميًا بحكم إدارتي لمتجر Subzy للاشتراكات الرقمية، لكن خبر اليوم مختلف: ليس إطلاق نموذج جديد ولا تخفيض أسعار — بل اختراق أمني طال مفاتيح الدخول إلى ChatGPT وClaude وجوجل نفسها. إذا كنت تستخدم أي أداة برمجة ذكاء اصطناعي وتخزّن مفاتيح API فيها، فهذا المقال قد يوفر عليك مئات الدولارات.

1. ماذا حدث بالضبط؟

في 17 أكتوبر 2026، كشفت شركة Anomaly Innovations (المطوّرة لمنصة OpenCode — وكيل برمجة ذكاء اصطناعي مفتوح المصدر يستخدمه ملايين المطورين) عن وصول غير مصرّح به إلى نظام قديم ضمن منصتها السحابية OpenCode Console. هذا النظام كان يخزّن مفاتيح API الخاصة بالمستخدمين — أي المفاتيح التي تربط حساباتهم لدى OpenAI وAnthropic وجوجل.

• المتأثرون: نحو 1.4% من مستخدمي OpenCode Console الذين ربطوا مزوّدين خارجيين وحفظوا مفاتيحهم في مساحات العمل.
• الشركة أرسلت بريدًا إلكترونيًا لكل متأثر، وقالت إن من لم يستلم إشعارًا فهو غير متأثر.
• التحقيق جارٍ بالتعاون مع Anthropic وOpenAI وجوجل.

2. لماذا سرقوا المفاتيح؟ "هجوم التقطير" الضخم

الشركة وصفت الحادث بأنه قد يكون «هجوم تقطير» واسع النطاق (distillation attack): المهاجمون لم يستهدفوا كلمات المرور ولا بيانات الدفع، بل استهدفوا الوصول إلى أغلى نماذج الذكاء الاصطناعي. باستخدام المفاتيح المسروقة، أجروا استعلامات ضخمة متكررة ضد النماذج المتقدمة — والهدف الأرجح: جمع ملايين أزواج المدخلات والمخرجات لتدريب نموذج أرخص خاص بهم، بينما يدفع الضحايا فاتورة الحوسبة.

النتيجة العملية: مستخدمون أبلغوا عن استنزاف سريع لأرصدتهم، وبعض الفواتير تجاوزت مئات الدولارات — أحدهم ذكر نحو 100$ رسومًا احتيالية في ليلة واحدة.

3. من المتأثر ومن هو بأمان؟

الحالة	الوضع	ماذا تفعل
حفظت مفتاح API في OpenCode Console	معرّض للخطر	ألغِ المفتاح واستبدله فورًا من لوحة المزوّد
تستخدم OpenCode محليًا فقط (CLI)	غير متأثر على الأرجح	راجع سجلات الاستخدام احتياطًا
لديك اشتراك ChatGPT Plus / Claude Pro شخصي	غير متأثر — الاختراق طال مفاتيح API لا حسابات الاشتراك	لا حاجة لإجراء، لكن فعّل التحقق بخطوتين
اشتريت مفتاح API من بائع مجهول	خطر مضاعف	اقرأ قسم الأسئلة الشائعة أدناه

4. خطوات الحماية العاجلة (بالترتيب)

1. أنشئ مفتاحًا جديدًا من لوحة تحكم المزوّد مباشرة (OpenAI أو Anthropic أو Google AI Studio) — ولا تستخدم أي روابط من رسائل البريد.
2. انشر المفتاح الجديد في تطبيقاتك وخطوط CI وملفات الإعداد المحلية.
3. احذف المفتاح القديم نهائيًا.
4. راجع سجلات الفوترة والاستخدام رجوعًا إلى 17 أكتوبر — الاستخدام غير المصرّح به يظهر هناك قبل الفاتورة.
5. فعّل حدّ الإنفاق: Anthropic وGoogle AI Studio وGroq تدعم سقفًا شهريًا، وOpenAI تدعم ميزانية مشروع يمكن فرضها كحدّ صارم. هذا الإجراء وحده كان سيحوّل خسارة 10,000$ إلى 100$.
6. ابحث عن أي مفاتيح قديمة منسية في ملفات .env وCI وأسرار IDE — واحذفها.

5. لماذا يهمّك هذا إن كنت مشتريًا عاديًا؟

قد تظن أن هذا الخبر للمطورين فقط، لكن الرسالة أعمق: مفاتيح API وحسابات الذكاء الاصطناعي أصبحت هدفًا ماليًا مباشرًا. السوق العربي مليء بعروض «حسابات ومفاتيح رخيصة» من بائعين مجهولين — وهذه الحادثة تذكّر بأن أرخص عرض قد يكون الأغلى ثمنًا عندما يُسرق حسابك أو تُستنزف رصيدك.

في Subzy نلتزم بالقاعدة الذهبية: اشتراكات رسمية فقط، تُفعَّل على حسابك الخاص — ChatGPT Plus وClaude Pro وGemini Pro وغيرها، بأسعار أقل من الرسمية، وتسليم آمن عبر واتساب. لا مفاتيح مجهولة المصدر، ولا حسابات مشتركة مريبة.

الأسئلة الشائعة:

س: هل حساب ChatGPT Plus أو Claude Pro الخاص بي معرّض للخطر؟
ج: لا. الاختراق طال مفاتيح API المخزّنة في OpenCode Console فقط، وليس حسابات الاشتراكات الشخصية. لكن إن كنت قد حفظت مفتاح API هناك، فاستبدله فورًا.

س: كيف أعرف أنني من المتأثرين؟
ج: OpenCode أرسلت بريدًا لكل متأثر. إن لم تستلم إشعارًا، فأنت خارج نطاق الحادثة — ومع ذلك راجع سجل الاستخدام في لوحة المزوّد.

س: هل يجب أن أتوقف عن استخدام أدوات البرمجة بالذكاء الاصطناعي؟
ج: لا، لكن لا تخزّن مفاتيحك في أي أداة لا تثق تمامًا ببنيتها الأمنية، وفعّل دائمًا حدّ الإنفاق الشهري.

س: ما البديل الآمن للحصول على ChatGPT Plus أو Claude Pro بسعر رخيص؟
ج: اشترِ اشتراكًا رسميًا من متجر موثوق مثل Subzy — يُفعَّل على حسابك أنت، فتبقى أنت المتحكم الوحيد.

خاتمة:

اختراق OpenCode درس قاسٍ لكنه واضح: في عصر الذكاء الاصطناعي، مفتاح API الخاص بك هو محفظتك — احمِه كما تحمي بطاقتك البنكية. بدّل المفاتيح المعرضة، فعّل حدود الإنفاق، ولا تشترِ وصولًا رخيصًا من مصادر مجهولة. وإن أردت أقوى اشتراكات الذكاء الاصطناعي بأمان تام وأسعار منافسة، فـمتجر Subzy موجود لهذا الغرض بالذات.

المصادر:

• Vector Wire: OpenCode distillation attack drains users' API keys
• AIToolsRecap: OpenCode Breach Exposed OpenAI and Anthropic API Keys
• Startup Fortune: OpenCode breach exposes stored OpenAI and Anthropic keys
• The420.in: OpenCode Breach Exposes Third-Party API Keys of 1.4% of Console Users
• DEV Community: OpenCode Console Breach — Rotate Your AI API Keys Now