Le 18 octobre 2026, Dax Raad, cofondateur d’OpenCode, a déclaré que des tentatives d’accès aux systèmes de l’entreprise avaient eu lieu au cours des 48 heures précédentes et que ceux-ci étaient en cours de sécurisation (Dax Raad). Le 17 octobre, OpenCode avait signalé qu’une intrusion survenue la nuit précédente pouvait avoir exposé des clés API de fournisseurs enregistrées dans OpenCode Console. L’entreprise a indiqué que 1,4 % des utilisateurs de Console ayant lié un fournisseur externe étaient concernés et qu’elle leur avait envoyé un e-mail (OpenCode).
Qui était concerné par l’alerte ?
OpenCode a circonscrit l’incident à Console. Selon Dax Raad, il concernait OpenCode Console, et non l’application OpenCode (Dax Raad). L’entreprise a également indiqué que les utilisateurs qui n’avaient pas reçu d’e-mail n’étaient pas concernés.
Le chiffre de 1,4 % porte sur les utilisateurs de Console ayant lié un fournisseur externe. Il ne désigne pas 1,4 % de l’ensemble des comptes des fournisseurs cités par OpenCode.
Console et stockage local : où se trouvait la clé ?
Dans OpenCode CLI, les clés API et jetons OAuth enregistrés sont stockés dans la base SQLite du serveur. Pour les versions de publication, le chemin habituel est ~/.local/share/opencode/opencode.db. XDG_DATA_HOME, le canal de version et OPENCODE_DB peuvent modifier cet emplacement. Les identifiants fournis par les variables d’environnement prises en charge sont lus par le processus serveur et ne sont pas enregistrés comme des comptes (documentation OpenCode CLI).
Pour vérifier votre configuration, repérez si le fournisseur était lié dans le service hébergé Console ou si l’identifiant avait été enregistré dans votre serveur local. Ces modes de stockage sont distincts.
Que faire pour une clé potentiellement exposée ?
Supprimer une clé de Console ne la révoque pas chez son fournisseur. The Hacker News rapporte qu’elle reste utilisable tant que le fournisseur ne l’a pas révoquée. Le média indique aussi qu’OpenCode a conseillé de contrôler l’activité du fournisseur à partir du 16 octobre au moins (The Hacker News).
Pour une clé API OpenAI, OpenAI recommande de la supprimer depuis le tableau de bord API, d’examiner l’utilisation et de contacter son assistance (conseils de sécurité d’OpenAI). OpenCode décrit Console comme une passerelle qui ajoute l’identifiant du fournisseur aux requêtes avant de les transmettre. Les requêtes qui passent par Console sont comptabilisées dans son budget, tandis que le fournisseur facture les jetons (documentation d’OpenCode Console). Le budget de Console ne plafonne donc pas une utilisation de la clé en dehors de cette passerelle.
Si un compte OpenAI est désactivé
Pour contester une désactivation, OpenAI indique d’utiliser le lien d’appel dans l’e-mail de notification ou son formulaire officiel. Si l’utilisateur n’a pas reçu de notification et a perdu l’accès à son compte, OpenAI l’oriente vers le chat du centre d’aide. La demande doit préciser les identifiants du compte ou de l’organisation, le contexte d’utilisation, la période concernée par la compromission suspectée et les démarches déjà entreprises (procédure d’OpenAI en cas de désactivation).
