Wyciek w OpenCode Console. Klucze API OpenAI, Anthropic i Google do wymiany

Co się stało w OpenCode Console

OpenCode to otwartoźródłowy agent programistyczny, z którego korzysta się w terminalu albo w aplikacji desktopowej, podobnie jak z Claude Code czy Codex. Console jest jego dodatkową, opcjonalną usługą w chmurze. Zespół zapisuje w niej klucz API swojego dostawcy modeli, a Console wysyła zapytania w imieniu członków zespołu, którzy samego klucza nie widzą.

Według relacji The Hacker News z 19 października włamanie dotyczyło starszego systemu (legacy) i nastąpiło w nocy 16 października. 17 października rano OpenCode rozesłał do poszkodowanych e-mail zatytułowany „Action Required: Potential provider key breach”, a później tego dnia potwierdził w serwisie X, że osoby bez takiej wiadomości nie są objęte incydentem.

Firma pisze, że klucze mogły zostać ujawnione, ale nie stwierdziła, że zostały skopiowane lub użyte. Współzałożyciel Dax Raad podkreślał w serwisie X, że chodzi o Console, a nie o samo narzędzie OpenCode. Klucze dodane lokalnie w aplikacji trafiają do bazy SQLite na komputerze użytkownika i nie są przesyłane do firmy.

Kogo dotyczy wyciek kluczy API

Zagrożone są wyłącznie klucze wklejone do workspace'u w OpenCode Console. Jeśli zespół używa OpenCode tylko lokalnie albo korzysta z modeli dostarczanych przez samą Console bez własnego klucza, incydent go nie obejmuje. OpenCode nie podał, ilu osobom odpowiada 1,4 proc. użytkowników.

Klucz API działa jak hasło na okaziciela. Kto ma jego kopię, może uruchamiać płatne zapytania na koszt właściciela, dopóki dostawca klucza nie unieważni. Limit budżetu ustawiony w Console nic tu nie zmienia, bo Console widzi tylko ruch przechodzący przez własną bramkę.

Co zrobić, jeśli klucz był zapisany w Console

Procedura wynika z e-maila OpenCode i zaleceń dostawców opisanych przez The Hacker News. Warto ją wykonać także wtedy, gdy nie ma pewności, czy klucz trafił do Console.

1. Unieważnij klucz w panelu dostawcy, czyli w OpenAI Platform, Claude Console lub Google AI Studio, i wygeneruj nowy.
2. Podmień klucz we wszystkich aplikacjach, skryptach i zmiennych środowiskowych, które z niego korzystały.
3. Przejrzyj zużycie i rozliczenia u dostawcy co najmniej od 16 października 2026 roku. OpenCode nie podał, kiedy zaczął się nieautoryzowany dostęp.
4. Ustaw u dostawcy limit wydatków albo alert i nadaj każdemu narzędziu osobny klucz, aby łatwiej wykryć i ograniczyć nadużycie.
5. Jeśli widzisz obce zapytania, zgłoś je dostawcy. W firmie potraktuj sprawę jak incydent bezpieczeństwa i odnotuj ją w rejestrze incydentów.

Straty zgłaszane przez użytkowników

Część użytkowników twierdzi, że już zapłaciła za cudze zapytania. Według Dealroom, cytowanego przez The Hacker News, Colin Parsons napisał w serwisie X, że jego klucz OpenAI wykorzystano na 281 USD, a klucz Anthropic na 168 USD. Preston Zeller ocenił swoje straty na 1700 USD. Po kursie NBP z 16 października 2026 roku (1 USD = 3,8827 zł) to odpowiednio ok. 1090 zł, 650 zł i 6600 zł.

Notebookcheck opisał z kolei wpisy na Reddicie o ok. 400 USD nieautoryzowanego zużycia na koncie Anthropic i ok. 200 euro na koncie Google, które zostało następnie zawieszone. To relacje samych użytkowników, których dailyAI nie mogło niezależnie potwierdzić.

Aktualizacja - blokady kluczy i zwroty kosztów

19 października 2026 roku TechCrunch podał, że dostawcy modeli zaczęli ograniczać skutki incydentu. Anthropic i Google zablokowały klucze API, które uznały za ujawnione. OpenAI współpracuje z OpenCode przy przywracaniu dostępu i zwraca klientom API koszt kredytów zużytych w ataku. Sam OpenCode zapewnia, że zwroty za nieautoryzowane opłaty są w toku.

Według TechCrunch programiści dostawali alerty o wydatkach z kont OpenAI, Anthropic i Google. Pojedyncze rachunki sięgały setek dolarów, a kilka przekroczyło 1000 USD, czyli ok. 3900 zł po kursie NBP z 19 października (1 USD = 3,8974 zł). Zablokowanie klucza przez dostawcę oznacza, że aplikacje korzystające z niego przestaną działać, dopóki właściciel nie wygeneruje nowego.

Współzałożyciel Dax Raad przekazał, że zespół przez całą dobę używał defensywnych agentów AI do analizy ataku. Część modeli odmawiała jednak analizy złośliwego kodu po zadziałaniu filtrów bezpieczeństwa. Później OpenCode dostał dostęp do programu OpenAI Daybreak Blue, w którym zweryfikowani użytkownicy korzystają z modeli rzadziej odmawiających pracy obronnej. Firma nadal nie wyjaśniła, jak napastnicy dostali się do systemu i jak przechowywano klucze, a incydent określa jako trwający.

Związek z atakiem destylacyjnym i niewiadome

OpenCode określił incydent jako trwający i powiązany z dużym atakiem destylacyjnym (distillation attack). Destylacją dostawcy modeli nazywają masowe pobieranie odpowiedzi modelu w celu wytrenowania konkurencyjnego systemu. Anthropic informował we wrześniu, że takie kampanie korzystają m.in. z sieci fałszywych kont i przechwyconych kluczy API. Według OpenCode firma współpracuje w tej sprawie z Anthropic, OpenAI i Google.

Nie wiadomo, czym był starszy system, jak intruz go przejął, ile kluczy w nim przechowywano ani jak dokładnie włamanie łączy się z destylacją. 18 października Raad pisał, że atakujący od 48 godzin bez przerwy próbują dostać się do systemów firmy. Szczegółów technicznych ataku nie opublikowano.

Wnioski dla polskich zespołów

W naszej ocenie incydent pokazuje ryzyko pośredników, którzy przechowują klucze do płatnych modeli w imieniu zespołu. Wygoda wspólnego klucza oznacza, że wyciek u jednego dostawcy narzędzia przekłada się na rachunki u kilku dostawców modeli naraz. Bezpieczniejszy układ to osobne klucze dla każdego narzędzia, twarde limity wydatków i regularna rotacja kluczy.

Firmy podlegające dyrektywie NIS2 lub krajowej ustawie o krajowym systemie cyberbezpieczeństwa powinny sprawdzić, czy nieautoryzowane użycie konta firmowego nie wymaga zgłoszenia jako incydent. Jeśli w zapytaniach wysyłanych przez Console znajdowały się dane osobowe, trzeba też ocenić obowiązki wynikające z RODO.