OpenCode poinformowało 17 października 2026 r., że poprzedniej nocy doszło do nieautoryzowanego dostępu do starszego systemu powiązanego z OpenCode Console. Według firmy incydent objął 1,4% użytkowników Console, a klucze zewnętrznych dostawców zapisane w przestrzeniach roboczych mogły zostać ujawnione. OpenCode podało tę informację w komunikacie, a treść powiadomienia do użytkowników przytoczył Infosecurity Magazine.
Co obejmował komunikat OpenCode
OpenCode podało, że 1,4% użytkowników Console, których dotyczył incydent, miało podłączonych zewnętrznych dostawców. W powiadomieniu firma wskazała, że klucze dostawców zapisane w przestrzeniach roboczych mogły zostać ujawnione; OpenAI i Anthropic wymieniono jako przykłady. OpenCode poinformowało też, że wysłało e-maile do osób objętych incydentem i że według firmy brak takiej wiadomości oznaczał brak wpływu na użytkownika.
Klucze Console a lokalne dane OpenCode
Zgłoszenie dotyczyło kluczy zapisanych w przestrzeniach roboczych Console. Dax Raad wyjaśnił, że incydent obejmował Console, a nie klienta OpenCode (wpis na X). Dokumentacja OpenCode podaje osobną lokalną ścieżkę: dane dostawców dodane poleceniem /connect są przechowywane w pliku ~/.local/share/opencode/auth.json (dokumentacja dostawców).
To rozróżnienie pomaga ustalić, gdzie zapisano używany klucz: w przestrzeni roboczej Console czy lokalnie przez /connect. Są to różne ścieżki przechowywania danych.
Co powiedziały OpenCode i Anthropic
OpenCode poinformowało, że współpracuje z Anthropic, OpenAI i Google w sprawie reakcji na incydent. 17 października Lydia Hallie z Anthropic napisała, że firma unieważniła klucze Claude API, które uznała za potencjalnie objęte incydentem (wpis na X).
Jak sprawdzić i zastąpić klucze
Safeguard zaleca przejrzeć klucze zapisane w przestrzeniach roboczych Console, także te dodane przez innych administratorów, oraz sprawdzić wykorzystanie i rozliczenia u dostawców od 16 października. Następnie należy zastąpić klucze w kolejności opisanej przez firmę: zalecenia Safeguard dotyczące incydentu.
- Zinwentaryzuj klucze, które były zapisane w przestrzeniach roboczych Console.
- Sprawdź u dostawców wykorzystanie API i rozliczenia od 16 października.
- Utwórz nowe klucze i wdroż je przed unieważnieniem starych.
- Unieważnij stare klucze i zaktualizuj wszystkie systemy, które z nich korzystały.
- Sprawdź, czy unieważnione klucze nie przechodzą uwierzytelniania.
Alert o wydatkach jedynie powiadamia właściciela konta, nie unieważnia klucza. Safeguard rozróżnia alert, limit wydatków i unieważnienie jako odrębne zabezpieczenia.
