La console retirée d'OpenCode a exposé les clés de fournisseurs d'IA des utilisateurs — et certaines factures avaient déjà été engagées

OpenCode, l'agent de codage open source développé par Anomaly (anciennement SST), a révélé le 17 octobre 2026 qu'une partie non autorisée avait accédé à un système Console hérité qu'elle était en train de décommissionner, et que les clés de fournisseurs d'IA tiers stockées dans les espaces de travail de certains utilisateurs « pourraient avoir été exposées » — dont des identifiants OpenAI, Anthropic et Google. OpenCode a indiqué que la violation touchait environ 1,4 % des utilisateurs de Console, précisément « un sous-ensemble d'utilisateurs ayant lié des fournisseurs externes », et qu'un e-mail avait été envoyé à chaque compte concerné. L'entreprise a décrit l'incident comme « une attaque de distillation à grande échelle ». En moins d'une journée, des utilisateurs nommément cités ont déclaré aux journalistes que les clés avaient été utilisées : Dealroom a rapporté 281 $ de frais sur la clé OpenAI d'un utilisateur et 168 $ sur la clé Anthropic du même utilisateur, plus de 700 $ sur un autre compte, et 1 700 $ sur un troisième.

Cet écart — entre la déclaration d’une entreprise sur un pourcentage et des utilisateurs qui ont des factures entre les mains — résume tout ce dossier. La communication est brève, l’exposé technique est absent, et le volet financier provient de ceux qui ont été facturés.

Ce qu'OpenCode a dit, dans ses propres mots

La publication publique de l’entreprise comptait trois phrases. « Nous avons subi une violation de sécurité la nuit dernière liée à une attaque de distillation à grande échelle qui a touché 1,4 % des utilisateurs d’OpenCode Console », peut-on lire, selon le texte cité sur Hacker News et par OfficeChai. « Nous les avons tous informés ce matin par e-mail. Si vous n’avez pas reçu d’e-mail, vous n’avez pas été touché ; il s’agissait d’un sous-ensemble d’utilisateurs qui avaient des fournisseurs externes liés. »

Une note communautaire un peu plus longue, publiée par l’équipe OpenCode et reproduite sur Hacker News, ajoutait le mécanisme tel que l’entreprise l’a décrit : « Nous avons identifié un accès non autorisé à un système hérité que nous étions en train de mettre hors service. Les clés de fournisseurs tiers (par ex. OpenAI, Anthropic) enregistrées dans votre espace de travail ont pu être exposées. Veuillez révoquer et remplacer ces clés via le tableau de bord du fournisseur concerné, mettre à jour toute application qui les utilise et examiner l’utilisation récente pour détecter toute activité inattendue. Nous sommes désolés que cela se soit produit et nous reviendrons vers vous avec toute mise à jour. »

Ce que l’entreprise n’a pas publié est tout aussi important que ce qu’elle a publié. Au 19 octobre 2026, il n’y a ni cause racine, ni description de la manière dont le système hérité a été atteint, ni indication de la durée pendant laquelle un intrus a eu accès, ni décompte absolu des comptes concernés derrière le chiffre de 1,4 %, ni chiffre de perte totale, ni politique de remboursement, ni analyse post-incident. OpenCode a déclaré à l’époque que « l’incident est en cours, nous ne pouvons donc pas partager davantage de détails pour le moment ». CyberSecurityNews a relevé les mêmes absences et ajouté qu’OpenCode n’avait fourni aucune preuve technique reliant les identifiants exposés à une activité de distillation.

La chronologie, et les points sur lesquels les rapports divergent

Le billet d'OpenCode est daté du 17 octobre 2026 et présente la violation comme ayant eu lieu « la nuit dernière », ce qui situe l'intrusion dans la nuit du 16 au 17 octobre. La soumission sur Hacker News de la déclaration de l'entreprise porte un horodatage de 18:01 UTC le 17 octobre. Deux jours plus tard, le cofondateur Dax Raad a déclaré que les attaquants s'étaient « sans relâche efforcés d'attaquer nos systèmes pendant les 48 dernières heures », et que « mes comptes personnels sont eux aussi attaqués en ce moment », décrivant cela comme « un tout nouveau monde avec le piratage assisté par IA » (OfficeChai).

Le moment de l’envoi des notifications est le seul point sur lequel les récits publiés divergent. OpenCode a déclaré avoir informé les utilisateurs concernés « ce matin ». Startup Fortune a rapporté qu’Anomaly avait envoyé un courriel aux utilisateurs concernés le 17 octobre, mais a noté que les sources divergent sur la question de savoir si les avis ont été envoyés le matin du 17 ou du 18 octobre ; OfficeChai, qui datait les publications d’OpenCode et de Raad du 17 octobre, a situé la déclaration à la communauté et les courriels au matin du 18 octobre. Startup Fortune a également rapporté que les utilisateurs avaient été invités à examiner leurs journaux de facturation et d’utilisation remontant au 17 octobre — une date limite qui compte, car certains utilisateurs ont signalé des frais inexpliqués avant l’arrivée de la première notification.

Ce qui était stocké, et pourquoi cela importait

L'exposition concerne spécifiquement OpenCode Console, le tableau de bord hébergé où résident les comptes, les abonnements et les identifiants de fournisseurs liés — et non la CLI open source prise isolément. Dealroom a rapporté que Console stocke les clés de fournisseurs des utilisateurs sur les serveurs d'OpenCode, et qu'OpenCode prend en charge des modèles de plus de 75 fournisseurs, les utilisateurs fournissant leurs propres clés d'API privées. C'est cette conception qui a transformé une intrusion dans un seul système interne en une compromission d'identifiants détenus par trois laboratoires d'IA distincts à la fois.

OpenCode a cité O​penAI, A​nthropic et G​oogle comme les fournisseurs dont les clés étaient concernées, et a déclaré travailler avec les trois « pour remédier au problème ». La seule action côté fournisseur rapportée à ce jour provient de sources indirectes : Dealroom a rapporté qu’A​nthropic a déclaré avoir révoqué les clés API C​laude concernées. Ni O​penAI ni G​oogle n’ont été cités directement dans les sources examinées pour cet article, et aucun fournisseur n’a publié sa propre déclaration.

Les factures que les utilisateurs disent avoir reçues

Le préjudice financier ne provient pas des révélations d’OpenCode — l’entreprise n’a publié aucun chiffre de pertes — mais d’utilisateurs individuels qui se sont exprimés auprès de journalistes. Le compte rendu de Dealroom, publié le 18 octobre, en cite trois :

• Colin Parsons, dont la clé O​penAI a été, selon l’expression du média, « pilonnée » pour 281 $, et dont la clé A​nthropic a été facturée 168 $.

• Preston Zeller, qui a déclaré des pertes de 1 700 $.

• Francisco Giancarelli, qui a vu plus de 700 $ d'utilisation d'OpenAI avant de l'arrêter.

{{1}}Cryptobriefing{{/1}}, qui n’a pas nommé de personnes, a décrit des factures {{2}}« grimpant jusqu’à plusieurs centaines de dollars »{{/2}} et a clairement indiqué que les documents sources ne précisent pas comment seront traitées les charges liées aux requêtes non autorisées. Cela reste vrai deux jours plus tard : aucun engagement de remboursement n’a été publié.

Deux autres catégories de préjudice sont alléguées mais non vérifiées. Startup Fortune a rapporté qu’un utilisateur a déclaré que G​oogle avait suspendu son projet G​oogle Cloud après l’incident, et qu’un autre a affirmé qu’O​penAI avait supprimé son compte pour une violation des conditions liée à cet incident — des publications individuelles sur X que le média a déclaré ne pas pouvoir vérifier. Séparément, le propre suivi des tickets GitHub d’OpenCode contient des signalements déposés par des utilisateurs qui cadrent mal avec la déclaration de l’entreprise selon laquelle « si vous n’avez pas reçu d’e-mail, vous n’avez pas été concerné ». Le ticket #56833, déposé le 18 octobre, émane d’un abonné qui affirme que son espace de travail n’a jamais contenu de clé O​penAI, A​nthropic ou G​oogle — seulement une clé OpenCode Go — mais que sa clé a été révoquée sans qu’une date d’expiration ait été définie, et qui demande une politique d’indemnisation qui n’a pas été publiée. Le ticket #56703, déposé le même jour, signale des espaces de travail affichant « Workspace access restricted » depuis le 17 octobre, de la part d’un utilisateur qui affirme n’avoir reçu aucun e-mail relatif à la violation. Il s’agit de signalements d’utilisateurs non confirmés, et non de déclarations de l’entreprise, mais ils indiquent que les mesures correctives ont touché des comptes en dehors du sous-ensemble des comptes ayant reçu un e-mail.

« Attaque par distillation » : ce que fait cette expression

La formulation d’OpenCode est une allégation sur les motivations, non une description de vulnérabilité, et l’entreprise n’a publié aucun élément pour l’étayer. Cryptobriefing a décrit l’objectif apparent comme la collecte de sorties de modèles de haute qualité pouvant servir à entraîner des modèles concurrents sans payer la puissance de calcul ni la recherche originale, et a noté qu’Anthropic avait décrit des méthodes de distillation similaires en février 2026. Il s’agit là d’une reconstruction plausible de l’intention. Ce n’est pas une preuve de qui a fait cela ni de ce qui a été exécuté.

L’affirmation a immédiatement suscité le scepticisme des chercheurs et des utilisateurs. Startup Fortune a cité le chercheur Nathan Lambert qui demandait si « distillation » signifiait entraîner des modèles en aval « ou quelque autre schéma bizarre et louche visant à utiliser des tokens obtenus illégalement », et a cité un utilisateur qui objectait que « Clés clients compromises. Probablement utilisées pour la distillation ? Ce n’est pas une attaque par distillation. » Sur Hacker News, les commentateurs ont insisté sur le même point — à savoir que cette formulation vient d’une entreprise dont les fournisseurs ont passé l’année à soutenir que la distillation constitue une menace commerciale existentielle, et qu’aucun journal de requêtes, aucune analyse de trafic et aucune attribution n’ont été rendus publics. La distinction compte pour quiconque lira le dossier plus tard : une compromission d’identifiants est établie ; l’objectif qui la sous-tend est affirmé.

Qu’est-ce qui a changé après la divulgation

Les instructions d'OpenCode aux utilisateurs concernés étaient de révoquer et de remplacer chaque clé de fournisseur associée via les tableaux de bord OpenAI, Anthropic et Google, de mettre à jour chaque application utilisant ces clés, et d'examiner l'utilisation et la facturation des fournisseurs afin de détecter toute activité inattendue. Startup Fortune a rapporté un conseil supplémentaire figurant dans l'avis : ne pas utiliser les liens de l'e-mail de violation, mais se rendre directement aux tableaux de bord des fournisseurs. Il a également rapporté qu'il avait été demandé aux utilisateurs de vérifier les journaux de facturation depuis le 17 octobre et de fixer des limites de dépenses pour plafonner l'exposition liée à une clé volée.

Du côté de la Console, la remédiation visible a consisté en une révocation et une restriction plutôt qu’en une divulgation. Des utilisateurs signalent la disparition de clés de leurs comptes et le verrouillage d’espaces de travail ; OpenCode n’a pas publié ce qu’il a modifié dans le système hérité, si ce système est désormais entièrement arrêté, ni comment il a détecté l’accès. S​tep Security, un fournisseur de sécurité, a publié des recommandations de réponse en moins d’une journée — y compris les chemins locaux des fichiers d’identifiants où sont enregistrés les fournisseurs liés sur les machines des développeurs — tout en précisant que ses outils peuvent identifier les installations de CLI mais ne peuvent pas déterminer si un développeur détient un compte Console ni quels fournisseurs y sont liés. Cette limitation est en soi un constat : le rayon d’impact ne peut pas être reconstitué côté client.

Ce qui est établi, et ce qui ne l’est pas

Il est établi, d’après les propres déclarations d’OpenCode et plusieurs rapports indépendants : une partie non autorisée a accédé à un ancien système Console ; des clés de fournisseurs tiers pour O​penAI, A​nthropic et G​oogle ont pu être exposées ; environ 1,4 % des utilisateurs de Console, le sous-ensemble ayant connecté des fournisseurs externes, ont été notifiés par e-mail ; l’entreprise se coordonne avec les trois fournisseurs ; A​nthropic a révoqué les clés C​laude concernées, selon Dealroom ; et des utilisateurs identifiés ont signalé des débits non autorisés de plusieurs centaines à quelques milliers de dollars.

Non établi : combien de comptes représentent 1,4 % ; comment l'intrus est entré ; combien de temps il a eu accès ; si chaque clé exposée a été utilisée ; à quoi servaient les requêtes ; si des données autres que les clés de fournisseurs ont été dérobées ; quel a été le préjudice total ; et si quelqu'un sera remboursé. OpenCode n'a pas publié de post-mortem, et sa déclaration selon laquelle l'incident était « en cours » n'a pas été formellement retirée.

La corroboration disponible ici est large, mais superficielle d'une manière bien précise. En l'espace de 48 heures, la divulgation a été relayée par CyberSecurityNews, OfficeChai, Startup Fortune, Notebookcheck, Dealroom, Cryptobriefing, The420.in, TOKENPOST, FourWeekMBA, BigGo Finance et S​tep Security, et le OECD.AI Incidents and Hazards Monitor répertorie l'événement à la date du 17 octobre 2026, en classant le préjudice dans la catégorie Economic/Property et le principe d'IA concerné comme la robustesse et la sécurité numérique. Ce que cela corrobore, c'est que la divulgation a bien eu lieu, que sa formulation est celle qui a été rapportée, et que le préjudice financier a été pris au sérieux par d'autres. En revanche, cela ne vérifie pas de manière indépendante le récit interne d'OpenCode concernant l'intrusion, car aucun média ne semble en avoir obtenu un. Le dossier ne contient ni notification d'un régulateur ni avis du fournisseur émanant d'O​penAI ou de G​oogle.

Comment l'archive le classe

L’archive consigne ceci comme un incident — un événement lié à l’IA avéré plutôt qu’une prévision — avec une gravité élevée, une confiance notée A, real_harm consigné comme vrai, et non contesté. Les étiquettes de type sont CRED et INFRA : une compromission d’identifiants de l’infrastructure d’une plateforme d’agents. L’indicateur non contesté concerne l’événement, non le cadrage de la distillation ; l’archive ne considère pas l’allégation de motif d’OpenCode comme une conclusion établie, et un lecteur ne devrait pas non plus.

Deux choses rendent ce dossier digne d’être conservé au-delà de ses montants en dollars. La première est architecturale : une plateforme d’agents qui stocke sur ses propres serveurs les clés d’accès de ses clients à trois laboratoires concurrents concentre un risque qui, autrement, incomberait à chaque client, et la mise hors service d’un système ne met pas hors service les identifiants qu’il renferme. La seconde est d’ordre probatoire : le récit de l’entreprise elle-même se résume à un pourcentage, à un système hérité et à un mobile, les factures étant fournies par les utilisateurs. C’est un dossier plus ténu que ne le justifierait la gravité, et c’est la forme que prennent encore la plupart de ces divulgations.

Cet enregistrement figure aux côtés des autres incidents d'agents documentés dans l'archive des incidents d'IA, où chaque entrée comporte ses propres sources, son niveau de gravité, sa note de confiance et son indicateur de contestation.