Le 17 octobre 2026, OpenCode a annoncé qu’un accès non autorisé survenu la veille avait visé son service hébergé Console. Des clés API de fournisseurs enregistrées dans des espaces de travail pourraient avoir été exposées, selon l’entreprise (annonce d’OpenCode).
Ce qu’OpenCode a signalé
Dans son courriel d’alerte, OpenCode décrivait le système comme ancien et en cours de mise hors service. L’entreprise indiquait que des clés de fournisseurs tiers enregistrées dans les espaces de travail pouvaient avoir été exposées, en citant notamment OpenAI et Anthropic ; l’extrait du courriel a été publié par Infosecurity Magazine.
OpenCode a estimé que 1,4 % des utilisateurs de Console étaient concernés et a précisé que ce groupe comprenait des personnes ayant lié des fournisseurs externes. L’entreprise a dit avoir averti les utilisateurs concernés par courriel et indiqué que ceux qui n’avaient pas reçu de message n’étaient pas touchés. Elle a décrit l’incident comme lié à une attaque de distillation à grande échelle.
Console et identifiants locaux
L’incident concerne les clés de fournisseurs enregistrées dans les espaces de travail Console. Dax Raad a précisé qu’il s’agissait de Console, et non du client OpenCode (sa déclaration).
Pour le client local, la documentation d’OpenCode indique que les identifiants de fournisseurs ajoutés avec la commande /connect sont enregistrés dans ~/.local/share/opencode/auth.json (documentation des fournisseurs). Ce chemin permet de distinguer le stockage local des clés enregistrées dans Console.
Les réponses annoncées par OpenCode et Anthropic
OpenCode a déclaré travailler avec Anthropic, OpenAI et Google pour remédier à l’incident. Le 17 octobre, Lydia Hallie a indiqué qu’Anthropic avait révoqué les clés API Claude que l’entreprise estimait concernées (discussion sur X).
Examiner et remplacer les clés
Safeguard recommande de procéder dans cet ordre :
- Recenser les clés de fournisseurs enregistrées dans les espaces de travail Console, y compris celles ajoutées par d’autres administrateurs.
- Examiner l’utilisation et la facturation auprès des fournisseurs à partir du 16 octobre.
- Créer et déployer des clés de remplacement, puis mettre à jour les applications et les environnements qui utilisent les anciennes.
- Révoquer les anciennes clés.
- Vérifier que les clés révoquées échouent à l’authentification.
Une alerte de dépenses informe le titulaire du compte, mais ne révoque pas une clé. Safeguard distingue cette notification du plafond de dépenses et de la révocation, qui sont des contrôles séparés.
