18 października 2026 r. Dax Raad poinformował, że przez poprzednie 48 godzin napastnicy próbowali uzyskać dostęp do systemów OpenCode, a firma wzmacniała ich zabezpieczenia. Dzień wcześniej OpenCode podało, że wtargnięcie do OpenCode Console mogło ujawnić klucze API dostawców. Według firmy problem dotyczył 1,4% użytkowników Console, którzy mieli podłączonych zewnętrznych dostawców; do tej grupy wysłano e-maile. Raad opisał próby dostępu w odniesieniu do okresu poprzedzającego jego wpis.

Console i lokalne dane logowania

OpenCode Console to hostowana usługa, która przekazuje żądania do podłączonych dostawców przez bramę. Dax Raad doprecyzował, że incydent dotyczył Console, a nie samej aplikacji OpenCode. Dokumentacja OpenCode CLI opisuje osobny sposób przechowywania danych w lokalnym serwerze: zapisane klucze API i tokeny OAuth znajdują się w bazie SQLite, zwykle pod ścieżką ~/.local/share/opencode/opencode.db.

Ścieżka może zależeć od XDG_DATA_HOME, kanału wydania lub zmiennej OPENCODE_DB. Wspierane poświadczenia przekazane przez zmienne środowiskowe są odczytywane przez proces serwera i nie są zapisywane jako konta. Jeśli chcesz ustalić, czy komunikat OpenCode dotyczy Twojej konfiguracji, sprawdź, czy dostawcę podłączono w hostowanym Console, czy dane zapisano w lokalnym serwerze.

Co zrobić z kluczem dostawcy

Usunięcie klucza z Console samo w sobie nie unieważnia go u dostawcy, jak wskazuje The Hacker News. W przypadku klucza OpenAI oficjalne zalecenia mówią o usunięciu go w panelu API, sprawdzeniu historii użycia i skontaktowaniu się z pomocą techniczną. OpenAI zaleca również sprawdzić rozliczenia od 16 października.

Żądania przechodzące przez bramę Console wliczają się do budżetu Console, a dostawca nalicza opłaty za tokeny. Budżet Console nie ogranicza użycia klucza poza tą bramą, co również wyjaśnia The Hacker News. Dlatego klucz należy unieważnić bezpośrednio u dostawcy, a nie poprzestać na usunięciu go z Console.

Gdy OpenAI dezaktywuje konto

Odwołanie od dezaktywacji konta OpenAI można złożyć przez link w wiadomości o dezaktywacji albo oficjalny formularz. Jeśli nie otrzymałeś takiej wiadomości i utraciłeś dostęp do konta, OpenAI wskazuje czat Centrum pomocy. W zgłoszeniu należy podać identyfikator użytkownika lub organizacji, kontekst użycia, zakres dat podejrzanego przejęcia oraz podjęte już działania.