OpenCode meldete am 17. Oktober 2026 unbefugten Zugriff auf ein älteres System, das mit seinem gehosteten Console-Dienst verbunden war. Das Unternehmen datierte den Vorfall auf die Nacht zum 17. Oktober und gab an, 1,4 Prozent der Console-Nutzenden seien betroffen gewesen. Diese Teilgruppe habe externe Anbieter verknüpft gehabt. OpenCode erklärte außerdem, die Betroffenen per E-Mail informiert zu haben; wer keine Nachricht erhalten habe, sei nach Unternehmensangabe nicht betroffen. OpenCodes Mitteilung
Eine von Infosecurity Magazine zitierte Benachrichtigung von OpenCode bezeichnete das betroffene System als älter und als zur Stilllegung vorgesehen. Darin hieß es, Drittanbieter-API-Schlüssel, die in Console-Arbeitsbereichen gespeichert waren, könnten offengelegt worden sein. OpenAI und Anthropic nannte die Nachricht als Beispiele. OpenCode brachte den Vorfall mit einem groß angelegten Distillationsangriff in Verbindung.
Console-Schlüssel und lokale Zugangsdaten
Die gemeldeten Zugangsdaten aus Console-Arbeitsbereichen sind von lokal gespeicherten Schlüsseln zu unterscheiden. Dax Raad sagte am 17. Oktober, der Vorfall betreffe OpenCode Console und nicht den OpenCode-Client. OpenCodes Dokumentation zufolge werden Anbieter-Schlüssel, die über den lokalen Befehl /connect hinzugefügt werden, in ~/.local/share/opencode/auth.json gespeichert.
Welche Maßnahmen OpenCode und Anthropic nannten
OpenCode teilte mit, mit Anthropic, OpenAI und Google an der Behebung des Vorfalls zu arbeiten. Lydia Hallie erklärte am 17. Oktober, Anthropic habe Claude-API-Schlüssel widerrufen, die das Unternehmen für möglicherweise betroffen hielt. Raads Beitrag auf X
Schlüssel prüfen und ersetzen
Safeguard empfiehlt in einem am 18. Oktober veröffentlichten Leitfaden, zunächst alle API-Schlüssel zu erfassen, die in Console-Arbeitsbereichen gespeichert waren, auch solche, die andere Arbeitsbereich-Administratoren hinzugefügt hatten. Anschließend sollten Nutzerinnen und Nutzer die Anfragenutzung und Abrechnung ihrer Anbieter ab dem 16. Oktober prüfen. Safeguards Empfehlungen
Für den Austausch rät Safeguard, Ersatzschlüssel zu erstellen und in den abhängigen Anwendungen und Umgebungen einzusetzen, bevor die alten Schlüssel widerrufen werden. Danach sollten alle Systeme auf die neuen Zugangsdaten umgestellt und geprüft werden, ob die widerrufenen Schlüssel bei der Authentifizierung tatsächlich scheitern.
Eine Ausgabenwarnung widerruft keinen Schlüssel. Laut Safeguard informiert sie lediglich den Kontoinhaber; Ausgabenlimit und Schlüsselwiderruf sind getrennte Maßnahmen.
