הקונסולה שהוצאה משימוש של OpenCode הדליפה מפתחות ספקי AI של משתמשים — וחלק מהחיובים כבר נוצלו

OpenCode, סוכן הקידוד בקוד פתוח שנבנה על ידי Anomaly (לשעבר SST), חשפה ב-17 באוקטובר 2026 כי גורם בלתי מורשה הגיע למערכת Console מדור קודם שהייתה בתהליך הוצאה משימוש, וכי מפתחות של ספקי AI חיצוניים המאוחסנים בסביבות העבודה של חלק מהמשתמשים "ייתכן שנחשפו" — ובהם אישורי גישה של O​penAI, A​nthropic ו-G​oogle. OpenCode מסרה כי הפריצה השפיעה על כ-1.4% ממשתמשי Console, ובאופן ספציפי על "תת-קבוצה של משתמשים שקישרו ספקים חיצוניים", וכי שלחה דוא"ל לכל חשבון שנפגע. החברה תיארה את התקרית כ"מתקפת זיקוק בהיקף רחב". בתוך יום, משתמשים בשמם סיפרו לכתבים שהמפתחות כבר נוצלו: Dealroom דיווחה על חיובים בסך $281 במפתח O​penAI של משתמש אחד ו$168 במפתח A​nthropic של אותו משתמש, יותר מ-$700 בחשבון אחר, ו$1,700 בחשבון שלישי.

הפער הזה — בין הצהרה של חברה על אחוז מסוים לבין משתמשים המחזיקים בחשבוניות — הוא כל הסיפור של הרשומה הזו. הגילוי קצר, התיאור הטכני חסר, והתיאור הכספי מגיע מהאנשים שחויבו.

מה ש-OpenCode אמר, במילותיו שלו

הפוסט הפומבי של החברה היה באורך שלושה משפטים. "הייתה לנו פרצת אבטחה אמש הקשורה להתקפת זיקוק בקנה מידה גדול שפגעה ב-1.4% ממשתמשי OpenCode Console," נכתב בו, לפי הטקסט שצוטט ב-Hacker News ועל ידי OfficeChai. "הודענו לכולם הבוקר בדוא"ל. אם לא קיבלתם דוא"ל, לא נפגעתם; מדובר היה בתת-קבוצה של משתמשים שהיו להם ספקים חיצוניים מקושרים."

הודעה קהילתית ארוכה במקצת, שפורסמה על ידי צוות OpenCode והועתקה ב-Hacker News, הוסיפה את המנגנון כפי שהחברה תיארה אותו: "זיהינו גישה בלתי מורשית למערכת מדור קודם שהיינו בתהליך הוצאה משימוש. ייתכן שמפתחות של ספקי צד שלישי (למשל OpenAI, Anthropic) שנשמרו במרחב העבודה שלך נחשפו. אנא בטל והחלף את המפתחות האלה דרך לוח הבקרה של הספק הרלוונטי, עדכן כל אפליקציה שמשתמשת בהם, ובדוק שימוש אחרון לפעילות בלתי צפויה. אנו מצטערים שזה קרה ונעדכן בהמשך עם כל עדכון."

מה שהחברה לא פרסמה חשוב לא פחות ממה שהיא כן פרסמה. נכון ל-19 באוקטובר 2026, אין סיבת שורש, אין תיאור כיצד הגיעו למערכת הוותיקה, אין הצהרה כמה זמן היה לפורץ גישה, אין מספר מוחלט של החשבונות המושפעים שמאחורי הנתון של 1.4%, אין נתון של הפסד כולל, אין מדיניות החזר ואין ניתוח לאחר האירוע. OpenCode אמרה באותו זמן ש"האירוע נמשך ולכן איננו יכולים לשתף פרטים נוספים בשלב זה." CyberSecurityNews ציינה את אותם חסרים והוסיפה ש-OpenCode לא סיפקה שום ראיה טכנית שמקשרת בין פרטי הגישה שנחשפו לפעילות הזיקוק.

ציר הזמן, והיכן שהדיווחים מתפצלים

הפוסט של OpenCode מתוארך ל17 באוקטובר 2026 ומתייחס לפריצה כאילו התרחשה "אמש", מה שממקם את החדירה בלילה שבין 16 ל-17 באוקטובר. ההגשה של הצהרת החברה ל-Hacker News נושאת חותמת זמן של 18:01 UTC ב-17 באוקטובר. יומיים לאחר מכן, המייסד השותף Dax Raad אמר שתוקפים "ניסו ללא הפסקה לתקוף את המערכות שלנו ב-48 השעות האחרונות", ושה"חשבונות האישיים שלי מותקפים כעת גם כן", ותיאר זאת כ"עולם חדש לגמרי עם האקינג מבוסס AI" (OfficeChai).

תזמון ההודעות הוא הנקודה היחידה שבה הדיווחים שפורסמו חלוקים. OpenCode מסרה כי הודיעה למשתמשים שנפגעו "הבוקר". Startup Fortune דיווח כי Anomaly שלחה דואר אלקטרוני למשתמשים שנפגעו ב-17 באוקטובר, אך ציין כי המקורות חלוקים בשאלה אם ההודעות נשלחו בבוקר ה-17 או ה-18; OfficeChai, שתיארכה את הפוסטים גם של OpenCode וגם של Raad ל-17 באוקטובר, מיקמה את ההודעה הקהילתית ואת הודעות הדואר האלקטרוני בבוקר ה-18 באוקטובר. Startup Fortune דיווח גם כי למשתמשים נאמר לבדוק את יומני החיוב והשימוש החל מ-17 באוקטובר — נקודת חיתוך שחשובה, משום שכמה משתמשים דיווחו על חיובים בלתי מוסברים לפני שההודעה הראשונה הגיעה.

מה אוחסן, ולמה זה היה חשוב

החשיפה ספציפית ל-OpenCode Console, לוח הבקרה המתארח שבו נמצאים חשבונות, מינויים ופרטי גישה של ספקים מקושרים — ולא ל-CLI בקוד פתוח כשלעצמו. Dealroom דיווחה ש-Console מאחסנת את מפתחות הספקים של המשתמשים בשרתים של OpenCode, ושהמערכת OpenCode תומכת במודלים מלמעלה מ-75 ספקים כאשר המשתמשים מספקים בעצמם את מפתחות ה-API הפרטיים שלהם. העיצוב הזה הוא שהפך פריצה למערכת פנימית אחת לפריצה לפרטי גישה שהוחזקו בשלוש מעבדות AI נפרדות בעת ובעונה אחת.

OpenCode ציינה את O​penAI, A​nthropic ו-G​oogle כספקיות שמפתחותיהן היו בהיקף, ואמרה שהיא פועלת עם כל שלוש "כדי לתקן את הבעיה". הפעולה היחידה מצד ספק שדווחה עד כה הגיעה מכלי שני: Dealroom דיווחה ש-A​nthropic אמרה שהיא ביטלה מפתחות API של C​laude שהושפעו. לא O​penAI ולא G​oogle צוטטו ישירות בסיקור שנבדק עבור מאמר זה, ואף ספק לא פרסם הצהרה משלו.

החשבונות שהמשתמשים אומרים שהגיעו

הנזק הכספי אינו נובע מהגילוי של OpenCode — החברה לא פרסמה נתון הפסד — אלא ממשתמשים בודדים ששוחחו עם עיתונאים. הדיווח של Dealroom, שפורסם ב-18 באוקטובר, מציין שלושה:

• Colin Parsons, שמפתח ה-OpenAI שלו, בלשון הפרסום, "נטחן" עבור $281, ומפתח ה-Anthropic שלו חויב ב-$168.

• פרסטון זלר, שדיווח על הפסדים של 1,700 דולר.

• פרנסיסקו ג'יאנקרלי, שראה יותר מ-700 דולר בשימוש ב-OpenAI לפני שהפסיק זאת.

Cryptobriefing, שלא נקבה בשמות של אנשים, תיארה חשבונות "שמטפסים לכדי מאות דולרים" וקבעה בפשטות שחומר המקור אינו מפרט כיצד יטופלו חיובים בגין שאילתות לא מורשות. זה נכון גם יומיים לאחר מכן: לא פורסמה התחייבות להחזר כספי.

שתי קטגוריות נוספות של נזק נטענות אך אינן מאומתות. Startup Fortune דיווח כי משתמש אחד אמר ש-G​oogle השעתה את פרויקט G​oogle Cloud שלו לאחר התקרית, ומשתמש אחר אמר ש-O​penAI מחקה את חשבונו בשל הפרת תנאים הקשורה לכך — פוסטים בודדים ב-X שלגביהם אמר המקור כי אינו יכול לאמת. בנפרד, מערכת המעקב אחר בעיות של OpenCode עצמה ב-GitHub מכילה דיווחים שהעלו משתמשים, שאינם מתיישבים בנוחות עם הקו של החברה: „אם לא קיבלתם דוא״ל, לא הושפעתם”. Issue #56833, שהוגש ב-18 באוקטובר, הוא ממנוי שאומר שסביבת העבודה שלו מעולם לא הכילה מפתח של O​penAI, A​nthropic או G​oogle — רק מפתח OpenCode Go — אך בכל זאת המפתח שלו בוטל בלי שנקבע לו תאריך תפוגה, והוא מבקש מדיניות פיצויים שטרם פורסמה. Issue #56703, שהוגש באותו יום, מדווח על סביבות עבודה שמציגות „גישה לסביבת העבודה מוגבלת” מאז 17 באוקטובר, לפי משתמש שאומר שלא קיבל דוא״ל על הפרה. אלה דיווחי משתמשים לא מאומתים, לא הצהרות חברה, אך הם מעידים שהתיקון נגע בחשבונות מחוץ לקבוצת המשתמשים שאליהם נשלח הדוא״ל.

"התקפת זיקוק": מה הביטוי הזה עושה

המסגור של OpenCode הוא טענה בדבר מניע, לא תיאור של פגיעות, והחברה לא פרסמה דבר כדי לתמוך בה. Cryptobriefing תיאר את המטרה הנראית לעין כאיסוף פלטים איכותיים של מודלים שיכולים לשמש לאימון מודלים מתחרים בלי לשלם על המחשוב או על המחקר המקורי, וציין ש-A​nthropic תיארה שיטות זיקוק דומות בפברואר 2026. זהו שחזור סביר של הכוונה. זה אינו ראיה למי עשה זאת או מה הם הריצו.

הטענה עוררה ספקנות מיידית מצד חוקרים ומשתמשים. Startup Fortune ציטט את החוקר Nathan Lambert בשאלו אם "דיסטילציה" פירושה אימון מודלים במורד הזרם "או איזשהו דפוס אחר, מוזר ומפוקפק, לשימוש באסימונים שהושגו שלא כחוק", וציטט משתמש שהתנגד באומרו: "מפתחות לקוחות נפרצו. יש להניח ששימשו לדיסטילציה? זו אינה התקפת דיסטילציה." ב-Hacker News, המגיבים חזרו על אותה נקודה — שהמסגור מגיע מחברה שספקיה בילו את השנה בטענה שדיסטילציה היא איום מסחרי קיומי, ושאין יומני שאילתות, ניתוח תעבורה או ייחוס שפורסמו. ההבחנה חשובה לכל מי שיקרא את התיעוד מאוחר יותר: פרצת אישורים מוכחת; המטרה שמאחוריה נטענת.

מה השתנה לאחר החשיפה

הוראותיו של OpenCode למשתמשים שנפגעו היו לבטל ולהחליף כל מפתח ספק מקושר דרך לוחות הבקרה של OpenAI, Anthropic ו-Google, לעדכן כל אפליקציה שמשתמשת במפתחות האלה, ולבדוק שימוש וחיוב של הספקים לאיתור פעילות לא צפויה. Startup Fortune דיווח על עצה נוספת אחת בהודעה: אין להשתמש בקישורים שבמייל על הפרצה, אלא לגשת ישירות ללוחות הבקרה של הספקים. עוד דווח כי נאמר למשתמשים לבדוק יומני חיוב אחורה עד 17 באוקטובר ולהגדיר מגבלות הוצאה כדי להגביל חשיפה ממפתח שנגנב.

בצד ה-Console, הסעד הנראה לעין היה שלילה והגבלה ולא חשיפה. משתמשים מדווחים שמפתחות נעלמים מחשבונות וסביבות עבודה ננעלות; OpenCode לא פרסמה מה שינתה במערכת ה-legacy, האם המערכת הזו כבויה כעת לחלוטין, או כיצד זיהתה את הגישה. S​tep Security, ספקית אבטחה, פרסמה הנחיות תגובה בתוך יום — כולל נתיבי קבצי האישורים המקומיים שבהם ספקים מקושרים נרשמים במחשבי מפתחים — תוך ציון שהכלים שלה יכולים לזהות התקנות CLI אך אינם יכולים לקבוע אם למפתח יש חשבון Console או אילו ספקים מקושרים אליו. המגבלה הזו היא כשלעצמה ממצא: לא ניתן לשחזר את היקף הפגיעה מצד הלקוח.

מה מבוסס, ומה לא

נקבע, על סמך הצהרותיה של OpenCode ודוחות עצמאיים רבים: גורם בלתי מורשה הגיע למערכת Console מדור קודם; ייתכן שמפתחות של ספקים חיצוניים עבור O​penAI, A​nthropic ו-G​oogle נחשפו; כ-1.4% ממשתמשי Console — התת-קבוצה שאליה מקושרים ספקים חיצוניים — קיבלו הודעה בדוא״ל; החברה מתאמת עם שלושת הספקים; A​nthropic ביטלה מפתחות C​laude שנפגעו, לפי Dealroom; ומשתמשים ששמם צוין דיווחו על חיובים בלתי מורשים בסכומים שבין מאות לאלפים בודדים של דולרים.

לא נקבע: כמה חשבונות מייצגים 1.4%; כיצד הפורץ נכנס; כמה זמן הייתה לו גישה; האם נעשה שימוש בכל מפתח חשוף; למה נועדו השאילתות; האם נלקחו נתונים מעבר למפתחות הספקים; מה היה סך הנזק; והאם מישהו יקבל פיצוי. OpenCode לא פרסמה ניתוח לאחר האירוע, והצהרתה שהאירוע "מתמשך" לא נמשכה רשמית.

האימות כאן רחב אך רדוד בדרך אחת ספציפית. בתוך 48 שעות הפרסום הובא על ידי CyberSecurityNews, OfficeChai, Startup Fortune, Notebookcheck, Dealroom, Cryptobriefing, The420.in, TOKENPOST, FourWeekMBA, BigGo Finance ו-S​tep Security, וה-OECD.AI Incidents and Hazards Monitor מציין את האירוע בתאריך 17 באוקטובר 2026, ומסווג את הנזק ככלכלי/רכושי ואת עקרון הבינה המלאכותית המושפע כחוסן ואבטחה דיגיטלית. מה שזה מאמת הוא שהפרסום התרחש, שהנוסח שלו הוא כפי שדווח, ושהנזק הכספי נלקח ברצינות על ידי אחרים. זה אינו מאמת באופן עצמאי את הדיווח הפנימי של OpenCode על החדירה, מכיוון שלא נראה שאף כלי תקשורת השיג אחד כזה. אין הודעה של רגולטור ואין ייעוץ ספק מ-O​penAI או G​oogle ברשומה.

איך הארכיון מתייק אותו

הארכיון רושם זאת כתקרית — אירוע ממומש הקשור ל-AI ולא תחזית — עם חומרה high, ביטחון בדרגה A, real_harm נרשם כאמת, ולא שנוי במחלוקת. תגי הסוג הם CRED וINFRA: פגיעה באישורים בתשתית של פלטפורמת סוכנים. דגל "לא שנוי במחלוקת" נוגע לאירוע, לא למסגור הדיסטילציה; הארכיון אינו מתייחס לטענת המניע של OpenCode כממצא מוסכם, וגם הקורא לא צריך.

שני דברים הופכים את התיעוד הזה לראוי לשימור מעבר לנתוניו הכספיים. הראשון הוא ארכיטקטוני: פלטפורמת סוכנים ששומרת בשרתים שלה את המפתחות של לקוחות לשלוש מעבדות מתחרות מרכזת סיכון שאחרת היה מונח אצל כל לקוח בנפרד, ופירוק מערכת אינו מפרק את פרטי ההזדהות שבתוכה. השני הוא ראייתי: התיאור של החברה עצמה הוא אחוז, מערכת מדור קודם ומניע, כשאליהם מצטרפות החשבוניות שסיפקו המשתמשים. זהו תיעוד דק יותר ממה שחומרת המקרה מצדיקה, וזה הצורה שרוב הגילויים האלה עדיין לובשים.

רשומה זו מופיעה לצד תקריות הסוכנים המתועדות האחרות, בתוך ארכיון תקריות ה-AI, כאשר כל ערך כולל מקורות משלו, חומרה, דרגת ביטחון וסימון מחלוקת.