OpenCode signale l’exposition possible de clés d’API chez 1,4 % des utilisateurs de Console
OpenCode a déclaré qu’un accès non autorisé à un ancien système avait pu exposer les clés de fournisseurs externes enregistrées par 1,4 % des utilisateurs d’OpenCode Console. L’entreprise dit avoir prévenu tous les comptes concernés et travailler avec Anthropic, OpenAI et Google.
Pourquoi c'est important
L’incident rappelle qu’un outil d’agent qui conserve une clé de fournisseur devient un maillon supplémentaire de la chaîne de sécurité, y compris après l’abandon d’un système historique.
Resume
L’avis adressé aux clients cite des clés OpenAI et Anthropic parmi les secrets potentiellement touchés et demande leur révocation, leur remplacement et la vérification des usages récents. OpenCode qualifie l’incident d’attaque de distillation à grande échelle, sans publier le nombre absolu de comptes, le volume de clés ni le montant des dépenses indues.
Le point a retenir
Les équipes ayant enregistré des clés dans OpenCode Console doivent se fier à l’avis reçu et renouveler les secrets concernés directement chez leurs fournisseurs.
Sources vérifiées
Texte source original
OpenCode a annoncé le 17 octobre qu’un ancien système en cours de retrait avait subi un accès non autorisé. Selon son message public, l’incident concerne 1,4 % des utilisateurs d’OpenCode Console ayant relié des fournisseurs externes ; tous les comptes touchés auraient reçu un courriel le matin même. L’avis client reproduit par plusieurs sources mentionne notamment des clés OpenAI et Anthropic enregistrées dans les espaces de travail. Il demande de les révoquer et de les remplacer depuis les tableaux de bord des fournisseurs, de mettre à jour les applications qui les utilisent et d’examiner l’activité récente. OpenCode indique travailler avec Anthropic, OpenAI et Google et décrit l’opération comme une attaque de distillation à grande échelle. La portée exacte reste inconnue : l’entreprise n’a communiqué ni nombre absolu d’utilisateurs ou de clés, ni estimation financière, ni détail technique permettant d’établir comment les secrets ont été exploités. Pour les organisations, la réponse utile est donc circonscrite aux comptes notifiés et à la rotation des clés effectivement stockées dans Console.