OpenCode's buiten gebruik gestelde console lekte de AI-providersleutels van gebruikers — en sommige rekeningen waren al betaald

OpenCode, de open-source codeeragent van Anomaly (voorheen SST), maakte op 17 oktober 2026 bekend dat een onbevoegde partij toegang had gekregen tot een verouderd Console-systeem dat het aan het uitfaseren was, en dat AI-sleutels van externe providers die in de workspaces van sommige gebruikers waren opgeslagen "mogelijk zijn blootgesteld" — waaronder inloggegevens van O​penAI, A​nthropic en G​oogle. OpenCode zei dat het datalek ongeveer 1,4% van de Console-gebruikers trof, specifiek "een subset van gebruikers die externe providers hadden gekoppeld", en dat het elk getroffen account een e-mail had gestuurd. Het bedrijf omschreef het incident als "een grootschalige distillatieaanval." Binnen een dag vertelden bij naam genoemde gebruikers aan journalisten dat de sleutels waren gebruikt: Dealroom meldde $281 aan kosten op de O​penAI-sleutel van één gebruiker en $168 op de A​nthropic-sleutel van dezelfde gebruiker, meer dan $700 op een ander account, en $1.700 op een derde.

Die kloof — tussen een bedrijfsverklaring over een percentage en gebruikers die facturen in handen hebben — is het hele verhaal van dit dossier. De bekendmaking is kort, het technische verslag ontbreekt, en het financiële verslag komt van de mensen die de rekening kregen.

Wat OpenCode zei, in zijn eigen woorden

Het openbare bericht van het bedrijf bestond uit drie zinnen. "We hadden gisteravond een beveiligingsincident met betrekking tot een grootschalige distillatieaanval die 1,4% van de gebruikers van OpenCode Console trof," stond er, volgens de tekst die op Hacker News en door OfficeChai werd geciteerd. "We hebben hen vanmorgen allemaal per e-mail op de hoogte gebracht. Als je geen e-mail hebt ontvangen, was je niet getroffen; het ging om een subset van gebruikers die externe providers hadden gekoppeld."

Een iets langere communitymededeling, geplaatst door het OpenCode-team en overgenomen op Hacker News, voegde het mechanisme toe zoals het bedrijf het tot nu toe heeft beschreven: "We hebben ongeautoriseerde toegang vastgesteld tot een legacy systeem dat we aan het uitfaseren waren. Sleutels van externe providers (bijv. OpenAI, Anthropic) die in je werkruimte zijn opgeslagen, zijn mogelijk blootgesteld. Trek die sleutels in en vervang ze via het dashboard van de betreffende provider, werk eventuele applicaties bij die ze gebruiken, en controleer recent gebruik op onverwachte activiteit. Het spijt ons dat dit is gebeurd en we volgen dit op met eventuele updates."

Wat het bedrijf niet publiceerde, is even belangrijk als wat het wel deed. Met ingang van 19 oktober 2026 is er geen grondoorzaak, geen beschrijving van hoe het legacy systeem werd bereikt, geen verklaring over hoe lang een indringer toegang had, geen absoluut aantal getroffen accounts achter het cijfer van 1,4%, geen cijfer voor de totale schade, geen vergoedingsbeleid en geen post-mortem. OpenCode zei destijds dat "het incident nog gaande is, dus we kunnen op dit moment geen details delen." CyberSecurityNews merkte dezelfde afwezigheden op en voegde eraan toe dat OpenCode geen technisch bewijs leverde dat de blootgestelde inloggegevens koppelt aan distillatieactiviteit.

De tijdlijn, en waar de rapporten uiteenlopen

De post van OpenCode is gedateerd op 17 oktober 2026 en verwijst naar de inbreuk als iets dat "afgelopen nacht" is gebeurd, waarmee de intrusie in de nacht van 16 op 17 oktober wordt geplaatst. De inzending op Hacker News van de verklaring van het bedrijf heeft een tijdstempel van 18:01 UTC op 17 oktober. Twee dagen later zei medeoprichter Dax Raad dat aanvallers "de afgelopen 48 uur non-stop hebben geprobeerd onze systemen aan te vallen", en dat "ook mijn persoonlijke accounts nu worden aangevallen", en beschreef het als een "hele nieuwe wereld met ai-aangedreven hacking" (OfficeChai).

De timing van de meldingen is het enige punt waarop gepubliceerde verslagen van elkaar afwijken. OpenCode zei dat het getroffen gebruikers "vanmorgen" op de hoogte had gebracht. Startup Fortune meldde dat Anomaly getroffen gebruikers op 17 oktober per e-mail had benaderd, maar merkte op dat bronnen verschillen over de vraag of de kennisgevingen op de ochtend van de 17e of de 18e zijn verzonden; OfficeChai, dat zowel de berichten van OpenCode als van Raad op 17 oktober dateerde, plaatste de verklaring aan de community en de e-mails op de ochtend van 18 oktober. Startup Fortune meldde ook dat gebruikers werd gevraagd hun facturerings- en gebruikslogboeken terug te kijken tot 17 oktober — een grens die ertoe doet, omdat sommige gebruikers melding maakten van onverklaarde kosten voordat de eerste kennisgeving aankwam.

Wat werd opgeslagen, en waarom het ertoe deed

De blootstelling is specifiek voor OpenCode Console, het gehoste dashboard waar accounts, abonnementen en gekoppelde providerreferenties staan — niet voor de open-source CLI op zichzelf. Dealroom meldde dat Console de providerkeys van gebruikers op de servers van OpenCode opslaat, en dat OpenCode modellen van meer dan 75 providers ondersteunt waarbij gebruikers hun eigen privé-API-sleutels aanleveren. Dat ontwerp is wat een inbreuk op één intern systeem veranderde in een inbreuk op referenties die bij drie afzonderlijke AI-labs tegelijk werden bewaard.

OpenCode noemde O​penAI, A​nthropic en G​oogle als de providers waarvan de sleutels binnen scope waren, en zei dat het met alle drie samenwerkte "om het probleem te verhelpen". De enige actie van providerzijde die tot nu toe is gemeld, kwam uit de tweede hand: Dealroom meldde dat A​nthropic zei dat het de getroffen C​laude API-sleutels had ingetrokken. Noch O​penAI noch G​oogle is rechtstreeks geciteerd in de berichtgeving die voor dit artikel is bekeken, en geen enkele provider heeft een eigen verklaring gepubliceerd.

De rekeningen die volgens gebruikers zijn aangekomen

De financiële schade komt niet uit OpenCode's openbaarmaking — het bedrijf heeft geen verliescijfer gepubliceerd — maar van individuele gebruikers die met verslaggevers spraken. Dealrooms verslag, gepubliceerd op 18 oktober, noemt er drie:

• Colin Parsons, van wie de OpenAI-sleutel, in de woorden van het medium, werd "leeggezogen" voor $281, en van wie de Anthropic-sleutel werd belast voor $168.

• Preston Zeller, die verliezen van $1.700 heeft gemeld.

• Francisco Giancarelli, die meer dan $700 aan OpenAI-gebruik zag voordat hij het stopte.

Cryptobriefing, dat geen namen van personen noemde, beschreef rekeningen die "opliepen tot in de honderden dollars" en stelde ronduit dat het bronmateriaal niet specificeert hoe kosten van ongeautoriseerde zoekopdrachten worden afgehandeld. Dat geldt twee dagen later nog steeds: er is geen toezegging over vergoeding gepubliceerd.

Er worden nog twee categorieën schade beweerd, maar niet geverifieerd. Startup Fortune meldde dat één gebruiker zei dat Google hun Google Cloud-project na het incident had opgeschort, en een ander zei dat OpenAI hun account had verwijderd wegens een aan het incident gekoppelde schending van de voorwaarden — afzonderlijke berichten op X waarvan het medium zei dat het ze niet kon verifiëren. Afzonderlijk daarvan bevat de eigen GitHub-issuetracker van OpenCode door gebruikers ingediende meldingen die moeilijk te rijmen vallen met de lijn van het bedrijf: "als je geen e-mail hebt ontvangen, ben je niet getroffen". Issue #56833, ingediend op 18 oktober, is afkomstig van een abonnee die zegt dat hun workspace nooit een OpenAI-, Anthropic- of Google-sleutel heeft bevat — alleen een OpenCode Go-sleutel — maar wiens sleutel toch werd ingetrokken zonder dat er een vervaldatum was ingesteld, en die vraagt om een compensatiebeleid dat niet is gepubliceerd. Issue #56703, dezelfde dag ingediend, meldt workspaces die sinds 17 oktober "Workspace access restricted" tonen, van een gebruiker die zegt geen e-mail over het datalek te hebben ontvangen. Dit zijn niet-bevestigde gebruikersmeldingen, geen verklaringen van het bedrijf, maar ze wijzen erop dat de herstelactie accounts heeft geraakt buiten de groep die per e-mail was geïnformeerd.

"Distillatieaanval": wat die uitdrukking doet

De framing van OpenCode is een motiefbewering, geen beschrijving van een kwetsbaarheid, en het bedrijf heeft niets gepubliceerd om die te onderbouwen. Cryptobriefing beschreef het kennelijke doel als het verzamelen van hoogwaardige modeloutputs die gebruikt konden worden om concurrerende modellen te trainen zonder te betalen voor de rekenkracht of het oorspronkelijke onderzoek, en merkte op dat Anthropic vergelijkbare distillatiemethoden in februari 2026 had beschreven. Dat is een plausibele reconstructie van de intentie. Het is geen bewijs over wie dit heeft gedaan of wat ze hebben uitgevoerd.

De bewering stuitte direct op scepsis bij onderzoekers en gebruikers. Startup Fortune citeerde onderzoeker Nathan Lambert die vroeg of "distillatie" betekende dat downstreammodellen werden getraind "of een of ander vreemd schimmig patroon om illegaal verkregen tokens te gebruiken", en citeerde een gebruiker die bezwaar maakte: "Klantsleutels gecompromitteerd. Vermoedelijk gebruikt voor distillatie? Dit is geen distillatieaanval." Op Hacker News benadrukten reageerders hetzelfde punt — dat de framing afkomstig is van een bedrijf wiens leveranciers het hele jaar hebben betoogd dat distillatie een existentiële commerciële bedreiging is, en dat er geen querylogboeken, geen verkeersanalyse en geen attributie zijn vrijgegeven. Het onderscheid is van belang voor iedereen die het verslag later leest: een inbreuk op inloggegevens staat vast; het doel erachter wordt beweerd.

Wat veranderde er na de onthulling

De instructies van OpenCode aan getroffen gebruikers waren om elke gekoppelde providersleutel via de dashboards van OpenAI, Anthropic en Google in te trekken en te vervangen, elke applicatie die deze sleutels gebruikt bij te werken, en het gebruik en de facturering van providers te controleren op onverwachte activiteit. Startup Fortune meldde nog een advies in de kennisgeving: gebruik geen links in de e-mail over het datalek, maar ga rechtstreeks naar de dashboards van de providers. Het meldde ook dat gebruikers werd geadviseerd om factureringslogboeken terug te kijken tot 17 oktober en bestedingslimieten in te stellen om de blootstelling door een gestolen sleutel te beperken.

Aan de Console-kant is de zichtbare remediatie intrekking en beperking geweest in plaats van openbaarmaking. Gebruikers melden dat sleutels uit accounts verdwijnen en dat werkruimten worden vergrendeld; OpenCode heeft niet gepubliceerd wat het in het legacy-systeem heeft gewijzigd, of dat systeem nu volledig is afgesloten, of hoe het de toegang heeft gedetecteerd. S​tep Security, een leverancier op het gebied van beveiliging, publiceerde binnen een dag richtlijnen voor de respons — inclusief de lokale paden van inloggegevensbestanden waarin gekoppelde providers op ontwikkelaarsmachines worden vastgelegd — en merkte daarbij op dat zijn tooling CLI-installaties kan identificeren, maar niet kan vaststellen of een ontwikkelaar een Console-account heeft of welke providers daaraan zijn gekoppeld. Die beperking is op zichzelf een bevinding: de impactradius kan niet vanaf de clientzijde worden gereconstrueerd.

Wat is vastgesteld, en wat niet

Vastgesteld op basis van OpenCode's eigen verklaringen en meerdere onafhankelijke rapporten: een onbevoegde partij heeft toegang gekregen tot een legacy Console-systeem; sleutels van externe providers voor O​penAI, A​nthropic en G​oogle zijn mogelijk blootgelegd; ongeveer 1,4% van de Console-gebruikers, de subset met gekoppelde externe providers, is per e-mail op de hoogte gesteld; het bedrijf coördineert met de drie providers; A​nthropic heeft de getroffen C​laude-sleutels ingetrokken, volgens Dealroom; en genoemde gebruikers meldden ongeautoriseerde kosten van honderden tot enkele duizenden dollars.

Niet vastgesteld: hoeveel accounts 1,4% vertegenwoordigt; hoe de indringer binnenkwam; hoe lang deze toegang had; of elke blootgestelde sleutel is gebruikt; waarvoor de queries dienden; of er andere gegevens dan provider-sleutels zijn gestolen; wat het totale verlies was; en of iemand wordt vergoed. OpenCode heeft geen post-mortem gepubliceerd, en zijn verklaring dat het incident "ongoing" was, is niet formeel ingetrokken.

De bevestiging hier is breed maar op één specifiek punt oppervlakkig. Binnen 48 uur werd de onthulling overgenomen door CyberSecurityNews, OfficeChai, Startup Fortune, Notebookcheck, Dealroom, Cryptobriefing, The420.in, TOKENPOST, FourWeekMBA, BigGo Finance en S​tep Security, en de OECD.AI-monitor voor incidenten en gevaren vermeldt de gebeurtenis met datum 17 oktober 2026, waarbij de schade wordt geclassificeerd als Economisch/eigendom en het betrokken AI-principe als robuustheid en digitale beveiliging. Wat dat bevestigt, is dat de onthulling heeft plaatsgevonden, dat de bewoording ervan is zoals gerapporteerd, en dat de financiële schade door anderen serieus werd genomen. Het verifieert niet onafhankelijk het interne verslag van OpenCode over de inbraak, omdat geen enkele publicatie er blijkbaar een heeft verkregen. Er is geen kennisgeving van een toezichthouder en geen leveranciersadvies van O​penAI of G​oogle in het dossier.

Hoe het archief het archiveert

Het archief registreert dit als een incident — een daadwerkelijk opgetreden AI-gerelateerde gebeurtenis, geen voorspelling — met ernst hoog, betrouwbaarheid gegradeerd als A, real_harm vastgelegd als waar, en niet betwist. De typetags zijn CRED en INFRA: een compromittering van inloggegevens van de infrastructuur van een agentplatform. De undisputed-vlag gaat over de gebeurtenis, niet over de distillatie-framing; het archief beschouwt de motiefbewering van OpenCode niet als een vaststaande bevinding, en een lezer zou dat ook niet moeten doen.

Twee dingen maken dit dossier de moeite waard om te bewaren, los van de dollarbedragen. Het eerste is architectonisch: een agentplatform dat de sleutels van klanten voor drie concurrerende labs op zijn eigen servers opslaat, concentreert risico dat anders bij elke klant afzonderlijk zou liggen, en het buiten gebruik stellen van een systeem betekent niet dat de inloggegevens erin buiten gebruik worden gesteld. Het tweede is bewijstechnisch: de eigen verklaring van het bedrijf is een percentage, een legacy-systeem en een motief, met de facturen die door gebruikers zijn aangeleverd. Dat is een magerder dossier dan de ernst rechtvaardigt, en dat is de vorm die de meeste van deze openbaarmakingen nog steeds aannemen.

Dit record staat naast de andere gedocumenteerde incidenten met agents in het AI-incidentenarchief, waar elke vermelding haar eigen bronnen, ernstgraad, betrouwbaarheidsniveau en aanduiding 'betwist' bevat.