Po komunikacie z 17 października 2026 r. firma OpenCode podała, że incydent w starszym systemie, który wycofywała z użytku, dotknął 1,4% użytkowników OpenCode Console. W relacji opublikowanej 20 października opisano indywidualne zgłoszenia nieautoryzowanego użycia kont u dostawców AI. Wcześniej NeoTeo opisało komunikat OpenCode i relację o próbach dostępu do systemów firmy.
Kogo dotyczył incydent
OpenCode wskazało użytkowników Console, którzy mieli podłączonych zewnętrznych dostawców. Dax Raad, współzałożyciel OpenCode, rozróżnił dane logowania zapisane w hostowanym Console od kluczy używanych wyłącznie w lokalnej aplikacji. Według jego wypowiedzi te drugie nie trafiają do OpenCode.
OpenCode określiło incydent jako atak destylacyjny na dużą skalę. Relacja opublikowana 20 października przekazała, że anonimowi specjaliści ds. bezpieczeństwa kwestionowali, czy to wyjaśnienie zostało ustalone.
Kwoty zgłaszane przez użytkowników
Colin Parsons zgłosił 281 USD zużycia na koncie OpenAI i 168 USD na koncie Anthropic. Preston Zeller oszacował swoje straty na 1700 USD. Inny użytkownik zgłosił ponad 700 USD zużycia w OpenAI, zanim odłączył klucz.
To indywidualne zgłoszenia i szacunek, a nie audytowany bilans incydentu.
Jak zareagowali dostawcy
Według relacji opublikowanej 20 października Anthropic unieważniło klucze, które uznało za przejęte. OpenAI współpracowało z OpenCode nad przywróceniem użytkownikom dostępu i zwrotem wykorzystanych środków. Google zawiesiło projekty, w których wykryło nadużycia.
OpenCode Console przechowuje dane logowania do podłączonych dostawców i przekazuje żądania przez swoją bramę, natomiast za zużyte tokeny rozlicza dostawca. Dokumentacja OpenCode rozróżnia usunięcie dostawcy z Console od wymiany jego klucza. Samo odłączenie integracji nie unieważnia więc klucza u dostawcy; klucz zapisany w Console trzeba unieważnić lub wymienić w panelu właściwej usługi.
