⚡️ У METR из-за вайбкодинга утёк API-ключ на $600 000. Инцидент произошёл на личном EC2-инстансе исследователя. Там работал быстро собранный dashboard, в котором авторизация через Google в какой-то момент тихо отключилась и сервис остался открыт наружу. По версии METR, злоумышленники могли найти его через списки Certificate Transparency, после чего напрямую попросили AI-агента выдать ключ провайдера. Агент отдал credential. Ключ использовали около трёх недель, потратив примерно $600 000 AI-кредитов, которые METR получила бесплатно. Проблему заметили не сразу: METR и так генерирует огромные объёмы токенов для evals, а бесплатный ключ не имел лимита расходов. Хороший пример того, как одна мелкая ошибка в «быстро собранном» интерфейсе может открыть доступ не просто к приложению, а сразу к агенту и его секретам. https://metr.org/blog/2026-08-31-security-update/#our-approach-to-security