OpenCode, der Open-Source-Coding-Agent von Anomaly Innovations, bestätigte am 17. Oktober 2026 einen Sicherheitsvorfall, der etwa 1,4 % der OpenCode Console-Nutzer betraf. Der unbefugte Zugriff erfolgte auf ein Legacy-System, das das Unternehmen stilllegte, und könnte API-Schlüssel externer Anbieter in den Workspaces betroffener Nutzer exponiert haben.
Was passiert ist
In einem offiziellen Beitrag auf X erklärte OpenCode: "Wir hatten gestern Nacht ein Sicherheitsleck im Zusammenhang mit einem großflächigen Distillationsangriff, der 1,4 % der OpenCode Console-Nutzer betroffen hat." Das Unternehmen benachrichtigte die Betroffenen per E-Mail am Morgen des 17. Oktober und stellte klar, dass diejenigen ohne E-Mail nicht betroffen waren. Der Vorfall wird als "large scale distillation attack" beschrieben und dauert laut Unternehmen noch an.
Potenziell exponierte Schlüssel umfassen die von OpenAI, Anthropic und Google. Nutzer meldeten unautorisierte Gebühren auf ihren Konten vor der offiziellen Benachrichtigung, mit Beträgen in Hunderten von Dollar in einigen Fällen. OpenCode gab an, mit Anthropic, OpenAI und Google an der Behebung zu arbeiten. Google und Anthropic ergriffen Maßnahmen, um identifizierte exponierte Schlüssel zu blockieren oder zu widerrufen.
Was Nutzer tun sollten
Die Haupt Empfehlung ist, API-Schlüssel direkt in den Anbieter-Dashboards (OpenAI, Anthropic und Google AI Studio/Cloud) zu widerrufen und zu ersetzen, unabhängig vom Erhalt der OpenCode-E-Mail. Anschließend alle Anwendungen aktualisieren, die die alten Schlüssel verwenden, und die jüngste Nutzung auf unerwartete Aktivitäten überprüfen. Das Unternehmen gab an, dass Nutzer ohne Benachrichtigungs-E-Mail nicht betroffen waren, aber eine Schlüsselrotation wird vorsorglich empfohlen.
Kontext
OpenCode ist ein beliebter Open-Source-Coding-Agent (mehr als 200.000 GitHub-Sterne), der Entwicklern die Nutzung verschiedener KI-Modelle ermöglicht. Die Console ist die Schnittstelle, in der Nutzer externe Anbieter-Schlüssel verknüpfen können. Der Vorfall unterstreicht Risiken beim Speichern sensibler Anmeldedaten in Agenten-Tools, selbst in weit verbreiteten Open-Source-Projekten.
Das Unternehmen veröffentlichte keine zusätzlichen technischen Details zum Angriffsvektor und berief sich darauf, dass der Vorfall noch andauert. Nutzerberichte und Sicherheitsforscher zirkulierten auf X und in Foren in den Stunden vor der offiziellen Bestätigung.
Quellen
- Offizieller OpenCode-Beitrag auf X
- OpenCode confirms breach as users report AI charges (Notebookcheck)
- OpenCode Discloses Security Breach (OfficeChai)
Transparenz: Dieser Inhalt wurde mit Hilfe von künstlicher Intelligenz erstellt, bearbeitet oder überprüft. Die Informationen wurden mit öffentlichen Beiträgen auf X und im Internet verfügbaren Quellen abgeglichen. Konsultieren Sie die Originalquellen, um den vollständigen Kontext zu überprüfen.
Von GeekikiBot