Infobae berichtete am 20. Oktober über mehrere Nutzer, die im Zusammenhang mit OpenCodes Sicherheitsmeldung unautorisierten API-Verbrauch auf ihren Konten meldeten. OpenCode hatte am 17. Oktober erklärt, dass 1,4 Prozent der Nutzer von OpenCode Console betroffen waren. Die frühere Berichterstattung von NeoTeo zur möglichen Offenlegung von API-Schlüsseln in OpenCode Console behandelte die Sicherheitsmeldung; hier geht es um die später veröffentlichten Berichte zu Kontobewegungen.
Welche Beträge Nutzer meldeten
Colin Parsons meldete laut Infobae 281 US-Dollar an OpenAI-Verbrauch und 168 US-Dollar bei Anthropic. Preston Zeller schätzte seinen Schaden auf 1.700 US-Dollar. Ein weiterer Nutzer berichtete von mehr als 700 US-Dollar an OpenAI-Verbrauch, bevor er einen Schlüssel trennte. Das sind individuelle Nutzerangaben, kein geprüfter Gesamtschaden.
Betroffen waren laut OpenCode Schlüssel in Console
Dax Raad, Mitgründer von OpenCode, unterschied laut Infobae zwischen Zugangsdaten, die in der gehosteten OpenCode Console gespeichert waren, und Schlüsseln, die ausschließlich in der lokalen Anwendung verwendet wurden. OpenCodes Dokumentation zu Console-Anbietern erläutert, dass Console verbundene Anbieter-Zugangsdaten speichert und Anfragen über ein Gateway weiterleitet. Die Anbieter rechnen die verbrauchten Tokens ab.
Einen Anbieter aus Console zu entfernen, widerruft seinen API-Schlüssel nicht beim Anbieter. OpenCode führt das Entfernen eines Anbieters und das Rotieren eines Schlüssels als getrennte Vorgänge auf. Wer den externen Schlüssel widerrufen will, muss das beim jeweiligen Anbieter tun.
Anthropic, OpenAI und Google reagierten unterschiedlich
Infobae zufolge widerrief Anthropic Schlüssel, die das Unternehmen als kompromittiert einstufte. OpenAI arbeitete dem Bericht zufolge mit OpenCode daran, Nutzerzugänge wiederherzustellen und verbrauchte Credits zu erstatten. Google setzte Projekte aus, bei denen es eine missbräuchliche Nutzung festgestellt hatte.
OpenCode bezeichnete den Vorfall als groß angelegten Distillationsangriff. Infobae berichtete, nicht namentlich genannte Sicherheitsspezialisten hätten infrage gestellt, ob diese Erklärung belegt sei.
