Op 18 oktober 2026 zei Dax Raad dat aanvallers in de voorafgaande 48 uur herhaaldelijk toegang tot OpenCode-systemen hadden proberen te krijgen. OpenCode werkte volgens hem aan het verder beveiligen van die systemen. Raads bericht volgde op de melding over mogelijke blootstelling van API-sleutels in OpenCode Console.
Op 17 oktober meldde OpenCode dat een inbraak de nacht ervoor mogelijk providersleutels had blootgesteld. Volgens het bedrijf betrof het 1,4 procent van de Console-gebruikers met gekoppelde externe providers; die gebruikers kregen een e-mail met het verzoek hun providersleutels in te trekken. OpenCode omschreef het incident als gerelateerd aan een grootschalige distillatieaanval. De melding van OpenCode bevestigde geen kopie of gebruik van sleutels.
Console en lokale sleutels staan op verschillende plekken
Dax Raad verduidelijkte op 17 oktober dat het incident OpenCode Console betrof, niet de OpenCode-applicatie. Zijn toelichting maakt de grens tussen de gehoste dienst en lokale opslag duidelijk.
OpenCode beschrijft Console als een gateway: de dienst voegt een gekoppelde providersleutel toe voordat een verzoek wordt doorgestuurd. Verzoeken via Console tellen mee voor Console-budgetten; de provider brengt het tokengebruik in rekening. De Console-documentatie beschrijft die werkwijze.
Voor de lokale CLI-server beschrijft OpenCode een andere opslagplek. Opgeslagen API-sleutels en OAuth-tokens staan in een SQLite-database, doorgaans op ~/.local/share/opencode/opencode.db. De locatie kan veranderen door XDG_DATA_HOME, het releasekanaal of OPENCODE_DB. Ondersteunde omgevingsvariabelen leest de server rechtstreeks uit het proces; die worden niet als accounts opgeslagen. De CLI-documentatie geeft deze details. Zo kun je nagaan of je een sleutel aan de gehoste Console had gekoppeld of lokaal had opgeslagen.
Trek een mogelijk blootgestelde sleutel in bij de provider
Een sleutel uit Console verwijderen trekt de providersleutel zelf niet in. Volgens The Hacker News blijft zo’n sleutel bruikbaar totdat de provider hem intrekt. Voor een OpenAI API-sleutel adviseert OpenAI de sleutel in het API-dashboard te verwijderen, het gebruik te controleren en contact op te nemen met support.
OpenCode adviseerde gebruikers volgens The Hacker News het providergebruik vanaf ten minste 16 oktober te controleren. De Console-budgetten gelden voor verzoeken via de gateway; de provider factureert tokens. Controleer daarom ook de gebruiksgegevens en facturering bij de provider.
Als OpenAI een account deactiveert
Voor een gedeactiveerd OpenAI-account verwijst OpenAI naar de bezwaarlink in de meldingsmail of het officiële bezwaarformulier. Wie de melding niet kan bereiken, of zonder melding geen toegang meer heeft tot het account, kan contact opnemen via de Help Center-chat. OpenAI vraagt daarbij om account- of organisatiegegevens, relevante gebruikscontext, de periode van vermoedelijke compromittering en de stappen die al zijn genomen. De officiële uitleg over accountdeactivering beschrijft deze routes.
