OpenCode meldde op 17 oktober 2026 dat onbevoegde toegang was verkregen tot een verouderd systeem dat bij OpenCode Console hoorde. Volgens het bedrijf was 1,4% van de Console-gebruikers getroffen; het ging om gebruikers met gekoppelde externe providers. De toegang had de nacht ervoor, op 16 oktober, plaatsgevonden. OpenCode zei dat de getroffen gebruikers per e-mail waren geïnformeerd en omschreef het incident als gerelateerd aan een grootschalige distillatieaanval (de verklaring van OpenCode).
Providersleutels in Console-werkruimtes
De door Infosecurity Magazine geciteerde e-mail van OpenCode waarschuwde dat externe providersleutels die in werkruimtes waren opgeslagen, mogelijk waren blootgesteld. OpenAI en Anthropic werden als voorbeelden genoemd (de geciteerde e-mail). OpenCode zei dat gebruikers die geen e-mail ontvingen volgens het bedrijf niet getroffen waren.
Console en lokale sleutels hebben een andere opslagroute
Dax Raad verduidelijkte op 17 oktober dat het incident OpenCode Console betrof, niet de OpenCode-client. OpenCode documenteert dat providersleutels die lokaal via /connect zijn toegevoegd, worden opgeslagen in ~/.local/share/opencode/auth.json (OpenCode-documentatie over providers; de toelichting van Dax Raad). De praktische vraag is dus waar je de sleutel hebt opgeslagen: in een Console-werkruimte of lokaal via /connect.
Anthropic meldde intrekking van mogelijk getroffen Claude-sleutels
OpenCode zei op 17 oktober dat het met Anthropic, OpenAI en Google samenwerkte aan de afhandeling van het incident. In dezelfde X-discussie zei Lydia Hallie van Anthropic dat het bedrijf Claude API-sleutels had ingetrokken die het mogelijk getroffen achtte. Die verklaring gaat over sleutels die Anthropic als mogelijk getroffen beschouwde (de X-discussie).
Sleutels controleren en vervangen
Safeguard adviseert eerst alle providersleutels te inventariseren die ooit in Console-werkruimtes zijn opgeslagen, ook sleutels die door andere beheerders zijn toegevoegd. Controleer vervolgens bij de betreffende providers het gebruik en de facturering vanaf 16 oktober 2026. Daarna beveelt Safeguard deze volgorde aan (het advies van Safeguard):
- Maak vervangende sleutels aan en rol ze uit.
- Trek de oude sleutels in en werk alle applicaties en omgevingen bij die ze gebruikten.
- Test of ingetrokken sleutels geen toegang meer geven.
Een bestedingsmelding trekt een sleutel niet in: volgens Safeguard waarschuwt die alleen de accounteigenaar. Een bestedingslimiet en het intrekken van een sleutel zijn afzonderlijke maatregelen.
