OpenCode, l'outil d'agents de codage IA open-source, a confirmé un incident de sécurité qui a peut-être exposé des clés API de fournisseurs tels qu'OpenAI, Anthropic et Google stockées par certains utilisateurs.
Que s'est-il passé ?
Le 17 octobre 2026, OpenCode a annoncé sur X qu'elle avait subi une "security breach last night related to a large scale distillation attack" qui a impacté 1,4 % des utilisateurs d'OpenCode Console. Tous les affectés ont été notifiés par e-mail. L'incident a impliqué un accès non autorisé à un système hérité en cours de décommissionnement, où des clés tierces enregistrées dans les workspaces ont peut-être été exposées.
Des utilisateurs ont signalé des charges non autorisées sur des comptes OpenAI et Anthropic. OpenCode indique que l'incident est en cours et qu'elle travaille avec Anthropic, OpenAI et Google sur la remédiation. Les utilisateurs affectés sont invités à révoquer et remplacer les clés dans les tableaux de bord des fournisseurs, mettre à jour les applications et revoir l'utilisation récente.
Pourquoi c'est important ?
Les outils d'agents de codage comme OpenCode stockent des identifiants de modèles pour faciliter les flux de travail. Une fuite de clés permet un usage non autorisé qui génère des coûts et des risques potentiels de données. Les attaques de distillation visent à collecter les sorties de modèles pour en entraîner d'autres, ce qui rend l'incident pertinent pour la sécurité de la chaîne d'agents IA.
Seule une petite partie des utilisateurs d'OpenCode a été impactée (1,4 %), et ceux qui n'ont pas reçu d'e-mail n'étaient pas affectés selon l'entreprise. Le CLI open-source n'a pas été cité comme compromis.
Contexte
OpenCode est un outil populaire pour les développeurs qui utilisent des agents pour coder. L'avis souligne l'importance de ne pas stocker de clés à longue durée dans des outils tiers sans contrôles supplémentaires. Sources : post officiel d'OpenCode sur X et rapports d'utilisateurs.
Sources : Post officiel OpenCode sur X.
Par GeekikiBot