Die stillgelegte Konsole von OpenCode hat die KI-Anbieter-Schlüssel der Nutzer geleakt – und einige der Rechnungen waren bereits angefallen.

OpenCode, der von Anomaly (früher SST) entwickelte Open-Source-Coding-Agent, gab am 17. Oktober 2026 bekannt, dass eine unbefugte Partei auf ein Legacy-Console-System zugegriffen habe, das gerade außer Betrieb genommen wurde, und dass die in den Workspaces einiger Nutzer gespeicherten Schlüssel von KI-Drittanbietern „möglicherweise offengelegt“ worden seien – darunter Zugangsdaten von OpenAI, Anthropic und Google. OpenCode erklärte, der Vorfall betreffe etwa 1,4 % der Console-Nutzer, konkret „eine Teilmenge von Nutzern, die externe Anbieter verknüpft hatten“, und man habe jedes betroffene Konto per E-Mail benachrichtigt. Das Unternehmen bezeichnete den Vorfall als „einen Distillationsangriff in großem Umfang“. Binnen eines Tages berichteten namentlich genannte Nutzer gegenüber Reportern, die Schlüssel seien verwendet worden: Dealroom meldete 281 US-Dollar an Belastungen auf dem OpenAI-Schlüssel eines Nutzers und 168 US-Dollar auf dem Anthropic-Schlüssel desselben Nutzers, mehr als 700 US-Dollar auf einem anderen Konto und 1.700 US-Dollar auf einem dritten.

Diese Kluft – zwischen einer Unternehmensaussage über einen Prozentsatz und Nutzern, die Rechnungen in der Hand halten – ist die ganze Geschichte dieses Datensatzes. Die Offenlegung ist kurz, die technische Darstellung fehlt, und die finanzielle Darstellung stammt von den Menschen, denen in Rechnung gestellt wurde.

Was OpenCode in eigenen Worten gesagt hat

Der öffentliche Beitrag des Unternehmens bestand aus drei Sätzen. „Wir hatten letzte Nacht eine Sicherheitsverletzung im Zusammenhang mit einem groß angelegten Distillationsangriff, der 1,4 % der Nutzer von OpenCode Console betraf“, hieß es darin laut dem Text, der auf Hacker News und von OfficeChai zitiert wurde. „Wir haben sie heute Morgen alle per E-Mail benachrichtigt. Wenn Sie keine E-Mail erhalten haben, waren Sie nicht betroffen; es handelte sich um eine Teilgruppe von Nutzern, die externe Anbieter verknüpft hatten.“

Eine etwas längere Mitteilung an die Community, veröffentlicht vom OpenCode-Team und auf Hacker News wiedergegeben, ergänzte den Mechanismus so weit, wie das Unternehmen ihn beschrieben hat: „Wir haben unbefugten Zugriff auf ein Legacy-System festgestellt, das wir gerade außer Betrieb nehmen. Drittanbieter-Schlüssel (z. B. O​penAI, A​nthropic), die in Ihrem Workspace gespeichert sind, könnten offengelegt worden sein. Bitte widerrufen und ersetzen Sie diese Schlüssel über das Dashboard des jeweiligen Anbieters, aktualisieren Sie alle Anwendungen, die sie verwenden, und prüfen Sie die aktuelle Nutzung auf unerwartete Aktivitäten. Es tut uns leid, dass dies passiert ist, und wir melden uns mit etwaigen Updates.“

Was das Unternehmen nicht veröffentlichte, ist ebenso wichtig wie das, was es veröffentlichte. Mit Stand vom 19. Oktober 2026 gibt es keine Grundursache, keine Beschreibung, wie das Altsystem erreicht wurde, keine Angabe, wie lange ein Eindringling Zugriff hatte, keine absolute Zahl der betroffenen Konten hinter der Angabe von 1,4 %, keine Angabe zur Gesamtschadenshöhe, keine Erstattungsrichtlinie und keine Abschlussanalyse. OpenCode erklärte damals: „Der Vorfall dauert an, daher können wir derzeit keine weiteren Details mitteilen.“ CyberSecurityNews stellte dieselben Lücken fest und fügte hinzu, dass OpenCode keine technischen Belege dafür lieferte, die die offengelegten Zugangsdaten mit Destillationsaktivitäten in Verbindung bringen.

Die Chronologie und wo die Berichte voneinander abweichen

OpenCodes Beitrag ist datiert auf 17. Oktober 2026 und gibt an, der Vorfall habe sich „letzte Nacht“ ereignet, was den Eindringling in die Nacht vom 16. auf den 17. Oktober einordnet. Die auf Hacker News eingereichte Stellungnahme des Unternehmens trägt einen Zeitstempel von 18:01 UTC am 17. Oktober. Zwei Tage später sagte Mitgründer Dax Raad, Angreifer hätten „in den vergangenen 48 Stunden ununterbrochen versucht, unsere Systeme anzugreifen“, und „auch meine persönlichen Konten werden jetzt angegriffen“; er beschrieb dies als eine „ganz neue Welt mit KI-gestütztem Hacking“ (OfficeChai).

Der Zeitpunkt der Benachrichtigung ist der eine Punkt, in dem veröffentlichte Berichte voneinander abweichen. OpenCode erklärte, es habe betroffene Nutzer „heute Morgen“ benachrichtigt. Startup Fortune berichtete, Anomaly habe betroffene Nutzer am 17. Oktober per E-Mail benachrichtigt, merkte aber an, dass die Quellen darin voneinander abweichen, ob die Mitteilungen am Morgen des 17. oder des 18. Oktober verschickt wurden; OfficeChai, das sowohl OpenCodes als auch Raads Beiträge auf den 17. Oktober datierte, verortete die Stellungnahme an die Community und die E-Mails am Morgen des 18. Oktober. Startup Fortune berichtete außerdem, den Nutzern sei geraten worden, Abrechnungs- und Nutzungsprotokolle bis zurück zum 17. Oktober zu prüfen — ein Stichtag, der wichtig ist, weil einige Nutzer von unerklärlichen Belastungen berichteten, bevor die erste Mitteilung einging.

Was gespeichert wurde und warum es wichtig war

Die Exposition betrifft speziell die OpenCode Console, das gehostete Dashboard, in dem Konten, Abonnements und verknüpfte Provider-Zugangsdaten liegen – nicht die Open-Source-CLI allein. Dealroom berichtete, dass Console die Provider-Schlüssel der Nutzer auf OpenCode-Servern speichert und dass OpenCode Modelle von mehr als 75 Anbietern unterstützt, wobei Nutzer ihre eigenen privaten API-Schlüssel bereitstellen. Dieses Design ist der Grund dafür, dass aus einer Kompromittierung eines internen Systems eine Kompromittierung von Zugangsdaten wurde, die bei drei separaten KI-Laboren gleichzeitig gehalten wurden.

OpenCode nannte O​penAI, A​nthropic und G​oogle als die Anbieter, deren Schlüssel betroffen waren, und erklärte, mit allen drei „das Problem zu beheben“. Die bislang einzige gemeldete Maßnahme auf Anbieterseite kam aus zweiter Hand: Dealroom berichtete, A​nthropic habe erklärt, die betroffenen C​laude-API-Schlüssel widerrufen zu haben. Weder O​penAI noch G​oogle wurden in der für diesen Artikel geprüften Berichterstattung direkt zitiert, und kein Anbieter hat eine eigene Stellungnahme veröffentlicht.

Die Rechnungen, die laut Nutzern angekommen sind

Der finanzielle Schaden stammt nicht aus OpenCodes Offenlegung – das Unternehmen hat keine Verlustzahl veröffentlicht –, sondern von einzelnen Nutzern, die mit Reportern sprachen. Dealrooms Bericht, veröffentlicht am 18. Oktober, nennt drei:

• Colin Parsons, dessen OpenAI-Schlüssel nach den Worten des Mediums für 281 $„abgezockt“ wurde und dessen Anthropic-Schlüssel mit 168 $.

• Preston Zeller, der Verluste von 1.700 US-Dollar meldete.

• Francisco Giancarelli, der mehr als 700 $ an O​penAI-Nutzung verzeichnete, bevor er sie stoppte.

Cryptobriefing, das keine Namen nannte, beschrieb Rechnungen, die „in die Hunderte von Dollar“ steigen, und erklärte unumwunden, dass das Quellmaterial nicht angibt, wie mit Gebühren aus unbefugten Abfragen umgegangen wird. Das gilt auch zwei Tage später noch: Es wurde keine Zusage zur Erstattung veröffentlicht.

Zwei weitere Schadenskategorien werden behauptet, sind aber nicht verifiziert. Startup Fortune berichtete, ein Nutzer habe gesagt, Google habe sein Google-Cloud-Projekt nach dem Vorfall gesperrt, und ein anderer, OpenAI habe sein Konto wegen eines damit zusammenhängenden Verstoßes gegen die Nutzungsbedingungen gelöscht – einzelne Posts auf X, die die Publikation nach eigenen Angaben nicht verifizieren konnte. Unabhängig davon enthält der eigene GitHub-Issue-Tracker von OpenCode von Nutzern eingereichte Berichte, die schlecht zu der Aussage des Unternehmens passen, „wenn Sie keine E-Mail erhalten haben, waren Sie nicht betroffen“. Issue #56833, eingereicht am 18. Oktober, stammt von einem Abonnenten, der angibt, sein Workspace habe nie einen OpenAI-, Anthropic- oder Google-Schlüssel enthalten – nur einen OpenCode-Go-Schlüssel –, doch sein Schlüssel sei ohne festgelegtes Ablaufdatum widerrufen worden; er bittet um eine Entschädigungsrichtlinie, die nicht veröffentlicht wurde. Issue #56703, am selben Tag eingereicht, meldet Workspaces, die seit dem 17. Oktober „Workspace access restricted“ anzeigen, und stammt von einem Nutzer, der sagt, er habe keine E-Mail zu dem Sicherheitsvorfall erhalten. Dies sind unbestätigte Nutzerberichte, keine Unternehmensaussagen, aber sie deuten darauf hin, dass die Behebung Konten außerhalb der per E-Mail informierten Teilmenge betroffen hat.

„Distillation Attack“: Was diese Wendung bewirkt

OpenCodes Darstellung ist eine Motivbehauptung, keine Beschreibung einer Sicherheitslücke, und das Unternehmen hat nichts veröffentlicht, was sie stützt. Cryptobriefing beschrieb den offensichtlichen Zweck als das Sammeln hochwertiger Modellausgaben, die zum Trainieren konkurrierender Modelle genutzt werden könnten, ohne für die Rechenleistung oder die ursprüngliche Forschung zu zahlen, und merkte an, dass A​nthropic im Februar 2026 ähnliche Destillationsmethoden beschrieben hatte. Das ist eine plausible Rekonstruktion der Absicht. Es ist kein Beweis dafür, wer dies getan hat oder was sie ausgeführt haben.

Die Behauptung stieß bei Forschern und Nutzern sofort auf Skepsis. Startup Fortune zitierte den Forscher Nathan Lambert mit der Frage, ob „Destillation“ das Training nachgelagerter Modelle meine „oder ein anderes seltsames, zwielichtiges Muster, um illegal beschaffte Tokens zu verwenden“, und zitierte einen Nutzer, der einwandte: „Kundenschlüssel kompromittiert. Vermutlich für Destillation verwendet? Das ist kein Destillationsangriff.“ Auf Hacker News beharrten Kommentatoren auf demselben Punkt — dass die Darstellung von einem Unternehmen komme, dessen Anbieter das Jahr damit verbracht hätten, zu argumentieren, Destillation sei eine existenzielle kommerzielle Bedrohung, und dass weder Abfrageprotokolle noch Verkehrsanalysen noch eine Attribuierung veröffentlicht worden seien. Die Unterscheidung ist wichtig für alle, die den Bericht später lesen: Eine Kompromittierung von Zugangsdaten ist belegt; der Zweck dahinter ist lediglich behauptet.

Was hat sich nach der Offenlegung geändert?

OpenCode wies betroffene Nutzer an, jeden verknüpften Provider-Schlüssel über die Dashboards von OpenAI, Anthropic und Google zu widerrufen und zu ersetzen, jede Anwendung, die diese Schlüssel verwendet, zu aktualisieren und die Nutzung sowie Abrechnung des Providers auf ungewöhnliche Aktivitäten zu prüfen. Startup Fortune berichtete über einen weiteren Hinweis in der Mitteilung: keine Links in der E-Mail zum Datenleck zu verwenden, sondern direkt zu den Dashboards der Anbieter zu gehen. Außerdem wurde berichtet, dass Nutzer aufgefordert wurden, Abrechnungsprotokolle bis zum 17. Oktober zu prüfen und Ausgabenlimits festzulegen, um das Risiko durch einen gestohlenen Schlüssel zu begrenzen.

Auf der Console-Seite bestand die sichtbare Behebung in Widerruf und Einschränkung statt in Offenlegung. Nutzer berichten, dass Schlüssel aus Konten verschwinden und Workspaces gesperrt werden; OpenCode hat nicht veröffentlicht, was im Legacy-System geändert wurde, ob dieses System inzwischen vollständig abgeschaltet ist oder wie es den Zugriff erkannt hat. Step Security, ein Sicherheitsanbieter, veröffentlichte innerhalb eines Tages Handlungsempfehlungen – einschließlich der lokalen Pfade von Anmeldedatendateien, in denen verknüpfte Anbieter auf Entwicklerrechnern erfasst sind – und wies darauf hin, dass seine Tools CLI-Installationen identifizieren können, aber nicht ermitteln können, ob ein Entwickler ein Console-Konto besitzt oder welche Anbieter damit verknüpft sind. Diese Einschränkung ist selbst ein Befund: Der Blast Radius lässt sich nicht von der Client-Seite aus rekonstruieren.

Was gesichert ist und was nicht

Belegt durch OpenCodes eigene Aussagen und mehrere unabhängige Berichte: Eine unbefugte Partei gelangte in ein Legacy-Console-System; Drittanbieter-Schlüssel für OpenAI, Anthropic und Google könnten offengelegt worden sein; rund 1,4 % der Console-Nutzer – die Teilmenge, bei der externe Anbieter verknüpft waren – wurden per E-Mail benachrichtigt; das Unternehmen stimmt sich mit den drei Anbietern ab; Anthropic hat laut Dealroom betroffene Claude-Schlüssel widerrufen; und namentlich genannte Nutzer meldeten unbefugte Abbuchungen in Höhe von mehreren Hundert bis zu niedrigen Tausend US-Dollar.

Nicht geklärt: wie viele Konten 1,4 % repräsentieren; wie der Eindringling hineingelangte; wie lange er Zugriff hatte; ob jeder offengelegte Schlüssel verwendet wurde; wofür die Abfragen dienten; ob über Anbieterschlüssel hinaus Daten entnommen wurden; wie hoch der Gesamtschaden war; und ob jemand entschädigt wird. OpenCode hat keinen Post-mortem veröffentlicht, und seine Aussage, der Vorfall sei „ongoing“, wurde nicht förmlich zurückgenommen.

Die Bestätigung ist hier breit, aber in einer bestimmten Hinsicht oberflächlich. Innerhalb von 48 Stunden wurde die Offenlegung von CyberSecurityNews, OfficeChai, Startup Fortune, Notebookcheck, Dealroom, Cryptobriefing, The420.in, TOKENPOST, FourWeekMBA, BigGo Finance und Step Security aufgegriffen, und der OECD.AI Incidents and Hazards Monitor führt das Ereignis mit Datum 17. Oktober 2026 auf und stuft den Schaden als wirtschaftlich/vermögensrechtlich und das betroffene KI-Prinzip als Robustheit und digitale Sicherheit ein. Was dadurch bestätigt wird, ist, dass die Offenlegung stattgefunden hat, dass ihr Wortlaut wie berichtet ist und dass der finanzielle Schaden von anderen ernst genommen wurde. Es wird dadurch jedoch nicht die interne Darstellung von OpenCode zum Eindringen unabhängig verifiziert, da offenbar kein Medium eine solche erhalten hat. In den Unterlagen gibt es weder eine Mitteilung einer Aufsichtsbehörde noch eine Anbieterwarnung von OpenAI oder Google.

Wie das Archiv es ablegt

Das Archiv verzeichnet dies als einen Vorfall – ein real eingetretenes KI-bezogenes Ereignis und keine Prognose – mit Schweregrad hoch, Konfidenz eingestuft als A, real_harm als wahr erfasst und unbestritten. Die Typ-Tags sind CRED und INFRA: eine Kompromittierung von Zugangsdaten in der Infrastruktur einer Agentenplattform. Das Unbestritten-Kennzeichen bezieht sich auf das Ereignis, nicht auf die Destillations-Rahmung; das Archiv behandelt die Motivbehauptung von OpenCode nicht als gesicherte Erkenntnis, und das sollte ein Leser ebenfalls nicht tun.

Zwei Dinge machen diesen Fall über seine Dollarzahlen hinaus festhaltenswert. Das erste ist architektonisch: Eine Agentenplattform, die die Schlüssel ihrer Kunden für drei konkurrierende Labore auf ihren eigenen Servern speichert, bündelt ein Risiko, das sonst bei jedem einzelnen Kunden läge, und die Stilllegung eines Systems legt die darin enthaltenen Zugangsdaten nicht still. Das zweite ist beweisbezogen: Die eigene Darstellung des Unternehmens besteht aus einer Prozentangabe, einem Altsystem und einem Motiv, ergänzt durch die von Nutzern gelieferten Rechnungen. Das ist eine dünnere Beweislage, als es die Schwere des Falls rechtfertigt, und es ist die Form, die die meisten dieser Offenlegungen noch immer annehmen.

Dieser Eintrag steht neben den anderen dokumentierten Agentenvorfällen in dem AI Incident Archive, wobei jeder Eintrag seine eigenen Quellen, seinen Schweregrad, seine Vertrauensstufe und seine Kennzeichnung als umstritten enthält.