Утечка OpenCode Console могла затронуть API-ключи OpenAI, Anthropic и Google, сохранённые пользователями в облачном сервисе компании. Инцидент относится к 16 октября, а под риск попали 1,4% пользователей Console с подключёнными внешними провайдерами — для команд, которые раздают доступ к моделям через единый рабочий контур, это неприятное напоминание: ключ, спрятанный от сотрудников, всё равно остаётся платёжным инструментом.
По данным The Hacker News, злоумышленник в ночь на 16 октября получил доступ к устаревшей системе OpenCode. Компания разослала потенциально затронутым клиентам письмо утром 17 октября с темой «Action Required: Potential provider key breach» и попросила немедленно отозвать ключи у соответствующих провайдеров. Тем, кто такого письма не получил, OpenCode заявила, что инцидент не затронул их рабочие пространства.
Речь идёт не о ключах, которые разработчик настроил локально в CLI- или десктопном приложении OpenCode. По словам сооснователя компании Дакса Раада, такие секреты хранятся на машине пользователя в SQLite-базе и не передаются OpenCode. Проблемой стала именно Console — необязательный размещаемый сервис для команд. В нём владелец рабочего пространства мог сохранить собственный ключ OpenAI, Anthropic или Google, а сервис использовал его для запросов к модели, не показывая секрет участникам команды.
Это удобная схема для быстрого старта: не нужно пересылать токены в чатах, хранить их в каждом ноутбуке или заставлять каждого сотрудника заводить отдельный биллинг-аккаунт. Но она создаёт концентратор риска. API-ключ провайдера — bearer credential: кто получил его копию, тот может отправлять платные запросы от имени владельца, пока ключ не отозван. Удаление записи из Console не решает проблему, если значение уже оказалось у постороннего.
OpenCode подчёркивает, что ключи могли быть раскрыты, но не заявляет, что их точно скопировали или использовали. Не раскрыты и важные детали: когда именно начался несанкционированный доступ, какую систему компания считает legacy, сколько ключей там находилось и сколько человек составляют упомянутые 1,4%. Такая формулировка юридически аккуратна, но для инженерной команды она означает простой режим работы: считать секрет скомпрометированным и менять его.
Первые пользовательские сообщения уже указывают на возможные расходы. Dealroom приводил пост Колина Парсонса: по его словам, с его ключей списали 281 доллар у OpenAI и 168 долларов у Anthropic. Другой пользователь, Престон Зеллер, оценил ущерб в 1700 долларов. Notebookcheck также писал о сообщениях на Reddit: пользователь Anthropic заявил примерно о 400 долларах неавторизованного использования, ещё один пользователь сообщил примерно о 200 евро расходов в Google и последующей приостановке проекта. Это заявления пользователей, а не подтверждённая OpenCode статистика, однако сценарий вполне реалистичен.
Для украденного ключа не требуется взламывать модель или обходить сложную авторизацию. Достаточно автоматизировать запросы, разогнать счёт за inference или перепродать доступ. Ограничение бюджета внутри Console тоже не обязательно остановит злоумышленника: оно контролирует только трафик, который проходит через шлюз сервиса. Запросы с утёкшим ключом можно отправлять напрямую к API провайдера.
Компания связала происшествие с «масштабной атакой на дистилляцию» и сообщила, что работает с Anthropic, OpenAI и Google. Дистилляцией в контексте ИИ обычно называют массовый сбор ответов моделей, чтобы использовать их для обучения или улучшения конкурирующей системы. В сентябре Anthropic предупреждала, что подобные кампании могут опираться на сети фальшивых аккаунтов, украденные платёжные данные, учётные записи и собранные API-ключи. Но OpenCode пока не объяснила, как именно предполагаемая атака на дистилляцию связана с доступом к её устаревшей инфраструктуре.
18 октября Раад написал, что попытки атак на системы OpenCode продолжались около 48 часов. Компания параллельно усиливала защиту. Для клиентов это означает, что инцидент нельзя воспринимать как уже полностью закрытую историю: риск старого ключа сохраняется до его отзыва на стороне провайдера, а не до публикации очередного статуса у SaaS-посредника.
Командам, использовавшим Console с собственными ключами, стоит отозвать их в кабинетах OpenAI, Anthropic или Google, выпустить новые и обновить все скрипты, CI/CD-пайплайны, переменные окружения и интеграции. Затем нужно проверить историю использования и биллинг как минимум с 16 октября. Полезно включить лимиты и алерты у самого провайдера, а не только в промежуточном сервисе.
На будущее разумнее выдавать отдельный ключ на каждый инструмент или окружение: Console, локальная разработка, продакшен и экспериментальные агенты не должны делить один секрет. Это уменьшает радиус поражения и делает аномальные расходы понятнее. Утечка OpenCode Console показывает, что безопасность ИИ-стека теперь упирается не только в доступ к данным и промптам, но и в скучную дисциплину управления ключами: один сохранённый токен способен превратить удобный командный сервис в прямой канал к чужому счёту.
