Únik klíčů z OpenCode Console proměnil AI účty v cizí nákupní kartu

OpenCode potvrdilo únik klíčů z Console a náklady už řeší poskytovatelé\n\nOpenCodeは、同社のオンライン機能Consoleに保存されていた一部ユーザーのAPIキーが侵害され、第三者による利用と請求が発生したと説明した。TechCrunch podle popisu incidentu uvádí, že šlo o 1,4 % uživatelů Console. Anthropic a Google zablokovaly klíče, které považovaly za odhalené, OpenAI spolupracovalo s OpenCode na obnovení přístupu a vrácení kreditů a OpenCode uvedlo, že refundace neoprávněných poplatků probíhají.

Podle spoluzakladatele Daxe Raada se únik týkal Console, kde si někteří lidé ukládali klíče, nikoli open-source aplikace ani příkazového řádku. Firma doporučila zasaženým uživatelům klíče u jednotlivých poskytovatelů odvolat a vystavit nové.

Napadená byla uložená přihlašovací vrstva, ne samotný OpenCode

Pro vývojáře je rozdíl zásadní: lokální nástroj může být otevřený a přesto jeho doprovodná cloudová služba drží tajemství, jejichž zneužití běží na účet uživatele. Pokud mají klíče vysoké limity, kompromitace účtu se rychle změní v přímou finanční škodu.

Událost také připomíná, že API klíč je fakticky platební prostředek. Týmy by měly každému klíči přiřadit minimální oprávnění, nízký limit a upozornění na neobvyklou spotřebu, místo aby čekaly, že platforma útok zachytí jako první.

Původ útoku i rozsah zneužití zůstávají nejasné

OpenCode podle dostupných zpráv blíže nepopsal, jak útočníci pronikli do staršího systému, jak byly klíče zabezpečené ani jak velká část z nich byla skutečně zneužita. Firma incident označila za související s rozsáhlým distillation útokem, ale motiv ani toto vysvětlení nejsou nezávisle potvrzené.

Rozhodnou nové klíče, audit a jasné vyúčtování

Uživatelé potřebují vědět, zda byly všechny zasažené klíče zneplatněny, zda se podařilo vyčíslit neoprávněnou spotřebu a jak budou poskytovatelé řešit refundace. Pro ostatní týmy je praktický test prostý: dokáže jeden odcizený klíč napáchat škodu dřív, než dorazí upozornění?

Lilithin verdikt

Uživatel si ukládá klíč, aby ušetřil pár kliknutí, a ráno místo výsledku práce najde účet za cizí provoz. OpenCode teď musí vedle nápravy ukázat i to, že pohodlí Console nestojí na klíčích s otevřeným limitem.