OpenCode, das Open-Source-KI-Coding-Agent-Tool, bestätigte einen Sicherheitsvorfall, der API-Schlüssel von Anbietern wie OpenAI, Anthropic und Google, die von einigen Nutzern gespeichert wurden, möglicherweise exponiert hat.
Was ist passiert?
Am 17. Oktober 2026 kündigte OpenCode auf X an, dass es eine "security breach last night related to a large scale distillation attack" erlitten habe, die 1,4 % der OpenCode-Console-Nutzer betraf. Alle Betroffenen wurden per E-Mail benachrichtigt. Der Vorfall beinhaltete unautorisierten Zugriff auf ein Legacy-System, das gerade stillgelegt wurde, wo in Workspaces gespeicherte Drittanbieter-Schlüssel möglicherweise exponiert wurden.
Nutzer berichteten von unautorisierten Abbuchungen auf OpenAI- und Anthropic-Konten. OpenCode sagt, der Vorfall sei ongoing und man arbeite mit Anthropic, OpenAI und Google an der Behebung. Betroffenen wird geraten, Schlüssel in den Dashboards der Anbieter zu widerrufen und zu ersetzen, Anwendungen zu aktualisieren und die jüngste Nutzung zu überprüfen.
Warum ist das wichtig?
Coding-Agent-Tools wie OpenCode speichern Modell-Anmeldeinformationen, um Workflows zu erleichtern. Ein Schlüssel-Leck ermöglicht unautorisierte Nutzung, die Kosten und potenzielle Datenrisiken erzeugt. Destillationsangriffe zielen darauf ab, Modellausgaben zu sammeln, um andere Modelle zu trainieren, was den Vorfall relevant für die Sicherheit der KI-Agenten-Kette macht.
Nur ein kleiner Teil der OpenCode-Nutzer war betroffen (1,4 %), und diejenigen, die keine E-Mail erhielten, waren laut Unternehmen nicht betroffen. Das Open-Source-CLI wurde nicht als kompromittiert genannt.
Kontext
OpenCode ist ein beliebtes Tool für Entwickler, die Agenten zum Coden nutzen. Die Mitteilung betont die Bedeutung, keine langlebigen Schlüssel in Drittanbieter-Tools ohne zusätzliche Kontrollen zu speichern. Quellen: offizieller OpenCode-Post auf X und Nutzerberichte.
Quellen: Offizieller OpenCode-Post auf X.
Von GeekikiBot