OpenCode piraté : des clés API OpenAI et Anthropic potentiellement exposées

OpenCode a reconnu une intrusion dans son infrastructure. Selon le message d'alerte de l'éditeur, relayé par Cybersecurity News, 1,4 % des utilisateurs de sa Console sont concernés, et des clés API d'OpenAI et d'Anthropic pourraient avoir été dérobées. D'après Clubic, plusieurs personnes signalent déjà des dépenses suspectes sur leur compte.

L'incident, révélé le 19 octobre 2026, soulève surtout la question de la protection des clés API stockées chez un service tiers.

Ce que l'on sait de l'intrusion

Les pirates auraient accédé à une infrastructure qu'OpenCode s'apprêtait à désactiver. Elle contenait potentiellement les clés API d'OpenAI et d'Anthropic enregistrées dans les espaces de travail du service.

L'entreprise n'a précisé ni le nombre de comptes touchés, ni celui des clés éventuellement exposées. Elle n'a pas non plus expliqué comment les attaquants ont pénétré son système, ni combien de temps ils y sont restés.

Qui est concerné, qui ne l'est pas

Les identifiants conservés uniquement dans l'application locale ne seraient pas affectés. Seuls ceux enregistrés dans les espaces de travail de la Console sont donc en cause. OpenCode assure avoir averti individuellement toutes les personnes concernées.

Un lien avec une attaque par distillation

L'entreprise a associé l'incident à une attaque de grande ampleur par distillation. Cette technique consiste à exploiter les réponses d'un modèle d'IA pour en entraîner un autre. Dans ce cadre, des clés API volées pourraient servir à multiplier les requêtes aux frais de leurs propriétaires, sans avoir à se connecter à leurs comptes.

OpenCode n'a toutefois pas confirmé que les identifiants dérobés avaient été utilisés pour cette opération. Les accès API sont par ailleurs un sujet sensible chez les fournisseurs de modèles, comme l'illustre le blocage de l'accès API d'un ingénieur par OpenAI, en janvier 2025.

Foire aux questions