Утечка API-ключей в OpenCode затронула 1,4% пользователей консоли проекта, подключавших внешних ИИ-провайдеров. Некоторые разработчики уже сообщили о несанкционированных списаниях — в отдельных случаях свыше 1700 долларов за ночь; для команд из России и СНГ это ещё одно напоминание, что ключ к облачной модели по последствиям всё ближе к ключу от корпоративной карты.
Инцидент произошёл в open-source-проекте OpenCode — ИИ-агенте для разработки, который работает через терминал, десктопное приложение и редакторы кода. Он помогает разбирать кодовую базу, писать функции и исправлять ошибки по запросам на естественном языке, а модели пользователи подключают сами: среди поставщиков упоминаются OpenAI, Anthropic и Google. О взломе и масштабе ущерба сообщает BleepingComputer.
По словам сопровождающего проекта, атакующие получили доступ к сохранённым ключам лишь у части клиентов OpenCode Console с подключёнными внешними провайдерами. Пользователям, которых сочли затронутыми, команда разослала письма утром после обнаружения атаки. Если такого письма не было, утверждает OpenCode, утечка API-ключей конкретного аккаунта не подтверждена. Самый ранний возможный момент компрометации ключей — 17 октября 2026 года, 00:30 UTC.
Проект не сообщил о похищении пользовательских данных. Но этого уже недостаточно, чтобы считать инцидент безболезненным: действующий ключ даёт злоумышленнику возможность расходовать лимиты владельца, запускать запросы от его имени и создавать аномальную активность, которую облачный провайдер затем увидит как проблему самого клиента. Несколько пользователей написали, что после подозрительных запросов Google приостановил их проекты, указав на активность, характерную для захваченных ресурсов.
Атака была связана с попыткой масштабной дистилляции моделей. В нормальном сценарии дистилляция — вполне легальный приём машинного обучения: ответы крупной модели используют для обучения более компактной, быстрой и дешёвой. В атакующем сценарии тот же метод превращается в промышленный отбор ответов через огромное число несанкционированных запросов. Для злоумышленника ценны и сами ответы модели, и чужие оплаченные квоты, на которых эти ответы можно получать.
Сооснователь OpenCode Дакс Раад заявил, что атака продолжалась не менее 48 часов и задействовала ИИ-агентов. Любопытная деталь: во время расследования команда столкнулась с тем, что применяемые ею модели начали отказывать в части запросов из-за встроенных защитных ограничений. Ситуацию удалось стабилизировать после того, как OpenCode в субботу получил разрешение задействовать для защитных задач кибербезопасностную модель OpenAI Daybreak.
Эта история не сводится к одному неудачному хранилищу секретов. ИИ-инструменты для кодинга всё чаще становятся точкой сборки: в одном интерфейсе оказываются репозиторий, облачный аккаунт, ключи нескольких модельных API и права на автоматические действия. Утечка API-ключей в такой связке опаснее обычной: расходы могут расти очень быстро, а антифрод провайдера нередко первым блокирует именно пострадавший проект. Разработчик видит не только счёт, но и остановившийся CI, недоступную среду или сорванную демонстрацию продукта.
OpenCode работает с Google, OpenAI и Anthropic над последствиями инцидента и допускает компенсации для пострадавших пользователей. Детали механизма возмещения, способ проникновения и точное число скомпрометированных ключей не раскрыты. Это оставляет важные практические вопросы для команд: где именно агент хранит секреты, можно ли выдать ему ключ с жёстким лимитом и минимальными правами, как быстро этот ключ отзывается и кто получает уведомление о резком скачке расходов.
Для компаний, использующих ИИ-агентов, базовый минимум теперь выглядит прозаично: отдельные ключи для каждого инструмента и окружения, лимиты расходов и квот, регулярная ротация, мониторинг аномальных запросов и заранее проверенная процедура отзыва доступа. Не стоит передавать агенту ключ, который одновременно открывает production-проект и не имеет финансового потолка. Это не делает атаки невозможными, но превращает ночной счёт на тысячи долларов в локальный инцидент, а не в пожар по всей облачной инфраструктуре.
Главный сдвиг здесь в том, что автоматизация атак и автоматизация разработки растут параллельно: один и тот же класс агентов способен ускорять и поиск уязвимостей, и эксплуатацию похищенных учётных данных. Чем удобнее становятся консоли, объединяющие модели и код, тем строже к ним придётся относиться как к системам управления секретами. Исходные детали инцидента и заявление команды доступны в материале .