Wycofana konsola OpenCode ujawniła klucze użytkowników do dostawców AI — a część rachunków już zdążyła narosnąć.

OpenCode, otwartoźródłowy agent kodujący stworzony przez Anomaly (dawniej SST), ujawnił 17 października 2026, że nieupoważniona osoba uzyskała dostęp do starszego systemu Console, który był w trakcie wycofywania, oraz że klucze zewnętrznych dostawców AI przechowywane w obszarach roboczych niektórych użytkowników „mogły zostać ujawnione” — w tym poświadczenia OpenAI, Anthropic i Google. OpenCode poinformował, że naruszenie dotyczyło około 1,4% użytkowników Console, a konkretnie „podzbioru użytkowników, którzy mieli połączonych zewnętrznych dostawców”, oraz że wysłał wiadomość e-mail do każdego dotkniętego konta. Firma opisała incydent jako „atak destylacji na dużą skalę”. W ciągu jednego dnia wskazani użytkownicy mówili reporterom, że klucze zostały użyte: Dealroom odnotował $281 obciążeń na kluczu OpenAI jednego użytkownika i $168 na kluczu Anthropic tego samego użytkownika, ponad $700 na innym koncie oraz $1,700 na trzecim.

Ta luka — między firmowym oświadczeniem o procencie a użytkownikami trzymającymi faktury — to cała historia tego zapisu. Ujawnienie jest krótkie, relacja techniczna nie istnieje, a relacja finansowa pochodzi od osób, którym wystawiono faktury.

Co powiedział OpenCode, jego własnymi słowami

Publiczny wpis firmy miał trzy zdania. „Zeszłej nocy mieliśmy naruszenie bezpieczeństwa związane z atakiem destylacji na dużą skalę, który dotknął 1,4% użytkowników OpenCode Console” – czytamy, zgodnie z tekstem cytowanym na Hacker News i przez OfficeChai. „Powiadomiliśmy ich wszystkich dziś rano e-mailem. Jeśli nie otrzymałeś e-maila, nie zostałeś dotknięty; była to podgrupa użytkowników, którzy mieli powiązanych zewnętrznych dostawców”.

Nieco dłuższe ogłoszenie dla społeczności, opublikowane przez zespół OpenCode i przedrukowane na Hacker News, przedstawiało mechanizm w takim zakresie, w jakim opisała go firma: „Zidentyfikowaliśmy nieautoryzowany dostęp do starszego systemu, który był w trakcie wycofywania z eksploatacji. Klucze dostawców zewnętrznych (np. O​penAI, A​nthropic) zapisane w Twojej przestrzeni roboczej mogły zostać ujawnione. Unieważnij i zastąp te klucze za pośrednictwem panelu odpowiedniego dostawcy, zaktualizuj wszelkie aplikacje, które ich używają, i przejrzyj ostatnią aktywność pod kątem nieoczekiwanych działań. Przepraszamy, że do tego doszło, i będziemy przekazywać wszelkie aktualizacje.”

To, czego firma nie opublikowała, jest równie ważne jak to, co zrobiła. Na dzień 19 października 2026 r. nie ma przyczyny źródłowej, opisu, w jaki sposób uzyskano dostęp do systemu legacy, oświadczenia, jak długo intruz miał dostęp, bezwzględnej liczby kont objętych wartością 1,4%, łącznej kwoty strat, polityki zwrotów ani analizy po incydencie. OpenCode oświadczył wówczas, że „incydent nadal trwa, więc na tym etapie nie możemy podzielić się większą liczbą szczegółów”. CyberSecurityNews zauważył te same braki i dodał, że OpenCode nie przedstawił żadnych dowodów technicznych łączących ujawnione dane uwierzytelniające z działalnością polegającą na destylacji.

Oś czasu i to, gdzie raporty się rozbiegają

Wpis OpenCode jest opatrzony datą 17 października 2026 i określa naruszenie jako mające miejsce „zeszłej nocy”, co sytuuje włamanie w nocy z 16 na 17 października. Zgłoszenie oświadczenia firmy w Hacker News ma znacznik czasu 18:01 UTC z 17 października. Dwa dni później współzałożyciel Dax Raadpowiedział, że atakujący „bez przerwy próbowali atakować nasze systemy przez ostatnie 48 godzin” oraz że „moje prywatne konta również są teraz atakowane”, opisując to jako „całkiem nowy świat z hakowaniem napędzanym przez AI” (OfficeChai).

Czas powiadomień to jedyne miejsce, w którym opublikowane relacje się różnią. OpenCode podał, że powiadomił dotkniętych użytkowników „dziś rano”. Startup Fortune poinformował, że Anomaly wysłała e-maile do dotkniętych użytkowników 17 października, ale zaznaczył, że źródła różnią się co do tego, czy powiadomienia zostały wysłane rano 17 czy 18 października; OfficeChai, który datował zarówno wpisy OpenCode, jak i Raada na 17 października, umieścił oświadczenie społeczności i e-maile na ranek 18 października. Startup Fortune poinformował również, że użytkownikom kazano przejrzeć logi rozliczeń i użytkowania sięgające 17 października — cezura, która ma znaczenie, ponieważ niektórzy użytkownicy zgłaszali niewyjaśnione opłaty, zanim nadeszło pierwsze powiadomienie.

Co było przechowywane i dlaczego miało to znaczenie

Ekspozycja dotyczy konkretnie OpenCode Console — hostowanego panelu, w którym przechowywane są konta, subskrypcje i powiązane poświadczenia dostawców — a nie samego CLI open source. Dealroom poinformował, że Console przechowuje klucze dostawców użytkowników na serwerach OpenCode oraz że OpenCode obsługuje modele od ponad 75 dostawców, przy czym użytkownicy dostarczają własne prywatne klucze API. To właśnie ten model sprawił, że naruszenie jednego wewnętrznego systemu stało się naruszeniem poświadczeń przechowywanych jednocześnie w trzech odrębnych laboratoriach AI.

{{1}}OpenCode{{/1}} wskazał {{2}}O​penAI{{/2}}, {{3}}A​nthropic{{/3}} i {{4}}G​oogle{{/4}} jako dostawców, których klucze były objęte zakresem, i poinformował, że współpracuje z całą trójką „w celu naprawienia problemu”. Jedynym jak dotąd zgłoszonym działaniem po stronie dostawcy była informacja z drugiej ręki: {{5}}Dealroom{{/5}} podał, że według {{6}}A​nthropic{{/6}} unieważniono dotknięte klucze API {{7}}C​laude{{/7}}. Ani {{8}}O​penAI{{/8}}, ani {{9}}G​oogle{{/9}} nie zostały bezpośrednio zacytowane w materiałach przeanalizowanych na potrzeby tego artykułu, a żaden dostawca nie opublikował własnego oświadczenia.

Rachunki, które według użytkowników dotarły

O stratach finansowych nie wiadomo z ujawnienia OpenCode — firma nie podała żadnej kwoty strat — ale od indywidualnych użytkowników, którzy rozmawiali z dziennikarzami. Relacja Dealroom, opublikowana 18 października, wymienia trzy osoby:

• Colin Parsons, którego klucz O​penAI został, jak to ujęła redakcja, „ostro obciążony” kwotą 281 USD, a którego klucz A​nthropic obciążono kwotą 168 USD.

• Preston Zeller, który zgłosił straty w wysokości $1,700.

• Francisco Giancarelli, który zobaczył ponad 700 dolarów wykorzystania OpenAI, zanim to zatrzymał.

Cryptobriefing, który nie podał nazwisk osób, opisał rachunki „sięgające setek dolarów” i stwierdził wprost, że materiał źródłowy nie określa, w jaki sposób będą obsługiwane opłaty za nieuprawnione zapytania. To pozostaje prawdą dwa dni później: nie opublikowano żadnego zobowiązania do zwrotu kosztów.

Zarzuca się dwie kolejne kategorie szkód, ale są one niezweryfikowane. Startup Fortune poinformował, że według jednego użytkownika Google zawiesiło jego projekt Google Cloud po incydencie, a według innego OpenAI usunęło jego konto z powodu powiązanego z tym naruszenia warunków — pojedyncze posty na X, których serwis, jak stwierdził, nie mógł zweryfikować. Osobno własny system zgłoszeń OpenCode w GitHubie zawiera raporty zgłoszone przez użytkowników, które trudno pogodzić z firmową linią „jeśli nie otrzymałeś e-maila, nie zostałeś objęty skutkami”. Zgłoszenie #56833 z 18 października pochodzi od subskrybenta, który twierdzi, że jego obszar roboczy nigdy nie zawierał klucza OpenAI, Anthropic ani Google — tylko klucz OpenCode Go — a mimo to unieważniono jego klucz bez ustawionej daty wygaśnięcia; prosi on też o politykę rekompensat, która nie została opublikowana. Zgłoszenie #56703, złożone tego samego dnia, donosi o obszarach roboczych wyświetlających „Workspace access restricted” od 17 października, od użytkownika, który twierdzi, że nie otrzymał e-maila o naruszeniu. To niepotwierdzone raporty użytkowników, a nie oświadczenia firmy, ale wskazują, że działania naprawcze objęły konta spoza grupy, do której wysłano e-maile.

„Atak destylacji”: co robi to wyrażenie

Sposób przedstawienia sprawy przez OpenCode to twierdzenie o motywach, a nie opis podatności, i firma nie opublikowała niczego, co by je popierało. Cryptobriefing opisał domniemany cel jako zbieranie wysokiej jakości wyników modeli, które można by wykorzystać do trenowania konkurencyjnych modeli bez ponoszenia kosztów obliczeń lub oryginalnych badań, i zauważył, że A​nthropic opisała podobne metody destylacji w lutym 2026 r. To prawdopodobna rekonstrukcja intencji. Nie jest to dowód na to, kto to zrobił ani co uruchomił.

Twierdzenie to spotkało się z natychmiastowym sceptycyzmem ze strony badaczy i użytkowników. Startup Fortune zacytował badacza Nathana Lamberta, pytającego, czy „destylacja” oznaczała trenowanie modeli niższego szczebla, „czy jakiś inny dziwny, podejrzany schemat wykorzystania nielegalnie pozyskanych tokenów”, oraz zacytował użytkownika, który zaprotestował: „Klucze klientów naruszone. Przypuszczalnie wykorzystane do destylacji? To nie jest atak destylacyjny”. Na Hacker News komentujący naciskali na ten sam punkt — że narracja pochodzi od firmy, której dostawcy spędzili cały rok, argumentując, że destylacja stanowi egzystencjalne zagrożenie komercyjne, i że nie udostępniono żadnych logów zapytań, żadnej analizy ruchu ani żadnego przypisania. To rozróżnienie ma znaczenie dla każdego, kto później sięgnie do zapisu: naruszenie danych uwierzytelniających jest ustalone; cel, który za nim stał, jest jedynie twierdzeniem.

Co zmieniło się po ujawnieniu

Instrukcje OpenCode dla dotkniętych użytkowników polegały na unieważnieniu i zastąpieniu każdego powiązanego klucza dostawcy za pośrednictwem paneli OpenAI, Anthropic i Google, zaktualizowaniu każdej aplikacji korzystającej z tych kluczy oraz sprawdzeniu użycia i rozliczeń u dostawcy pod kątem nieoczekiwanej aktywności. Startup Fortune poinformował o jeszcze jednej wskazówce zawartej w zawiadomieniu: nie korzystać z linków w e-mailu o naruszeniu, lecz przejść bezpośrednio do paneli dostawców. Poinformował również, że użytkownikom polecono sprawdzić dzienniki rozliczeń aż do 17 października i ustawić limity wydatków, aby ograniczyć ryzyko związane ze skradzionym kluczem.

Po stronie Console widoczne działania naprawcze polegały raczej na unieważnianiu i ograniczaniu dostępu niż na ujawnianiu informacji. Użytkownicy zgłaszają, że klucze znikają z kont, a przestrzenie robocze są blokowane; OpenCode nie ujawnił, co zmienił w systemie legacy, czy system ten jest już w pełni wyłączony ani w jaki sposób wykrył dostęp. S​tep Security, dostawca rozwiązań bezpieczeństwa, opublikował wytyczne dotyczące reagowania w ciągu jednego dnia — w tym lokalne ścieżki plików poświadczeń, w których na maszynach deweloperskich zapisywani są powiązani dostawcy — zauważając jednocześnie, że jego narzędzia potrafią zidentyfikować instalacje CLI, ale nie potrafią ustalić, czy deweloper ma konto w Console ani jacy dostawcy są z nim powiązani. To ograniczenie samo w sobie jest ustaleniem: nie można odtworzyć zasięgu skutków po stronie klienta.

Co jest ustalone, a co nie

Ustalono na podstawie własnych oświadczeń OpenCode i wielu niezależnych raportów: nieupoważniona strona uzyskała dostęp do starszego systemu Console; klucze zewnętrznych dostawców do OpenAI, Anthropic i Google mogły zostać ujawnione; około 1,4% użytkowników Console, czyli podzbiór z połączonymi zewnętrznymi dostawcami, zostało powiadomionych e-mailem; firma koordynuje działania z trzema dostawcami; Anthropic unieważniła dotknięte klucze Claude, według Dealroom; a wymienieni użytkownicy zgłosili nieautoryzowane obciążenia w wysokości od setek do kilku tysięcy dolarów.

Nie ustalono: ile kont reprezentuje 1,4%; w jaki sposób intruz wszedł; jak długo miał dostęp; czy każdy ujawniony klucz został wykorzystany; czego dotyczyły zapytania; czy wyniesiono jakiekolwiek dane poza kluczami dostawców; jaka była całkowita strata; oraz czy ktokolwiek otrzyma zwrot pieniędzy. OpenCode nie opublikował raportu powypadkowego, a jego oświadczenie, że incydent jest „w toku”, nie zostało formalnie wycofane.

Potwierdzenie jest tu szerokie, ale płytkie w jeden konkretny sposób. W ciągu 48 godzin ujawnienie to podchwyciły CyberSecurityNews, OfficeChai, Startup Fortune, Notebookcheck, Dealroom, Cryptobriefing, The420.in, TOKENPOST, FourWeekMBA, BigGo Finance i S​tep Security, a OECD.AI Incidents and Hazards Monitor wymienia to zdarzenie z datą 17 października 2026, klasyfikując szkodę jako ekonomiczną/majątkową, a naruszoną zasadę AI jako odporność i bezpieczeństwo cyfrowe. Potwierdza to, że ujawnienie miało miejsce, że jego brzmienie jest takie, jak podano, oraz że szkoda finansowa została przez innych potraktowana poważnie. Nie weryfikuje to jednak niezależnie wewnętrznej relacji OpenCode o włamaniu, ponieważ żadne medium najwyraźniej jej nie uzyskało. W materiale nie ma żadnego zawiadomienia regulatora ani komunikatu doradczego producenta od O​penAI czy G​oogle.

Jak archiwum to archiwizuje

Archiwum rejestruje to jako incydent — faktycznie zrealizowane zdarzenie związane z AI, a nie prognozę — o wadze wysokiej, z pewnością ocenioną na A, real_harm odnotowano jako prawdziwe, a niezakwestionowane. Tagi typu to CRED i INFRA: kompromitacja danych uwierzytelniających w infrastrukturze platformy agentowej. Oznaczenie bezsporności dotyczy zdarzenia, a nie sposobu ujęcia destylacji; archiwum nie traktuje twierdzenia OpenCode o motywacji jako rozstrzygniętego ustalenia, i czytelnik również nie powinien.

Dwie rzeczy sprawiają, że ten zapis warto zachować poza jego kwotami dolarowymi. Pierwsza jest architektoniczna: platforma agentowa, która na własnych serwerach przechowuje klucze klientów do trzech konkurujących laboratoriów, koncentruje ryzyko, które w przeciwnym razie spoczywałoby na każdym kliencie, a wycofanie systemu z eksploatacji nie unieważnia poświadczeń, które się w nim znajdują. Druga jest dowodowa: własne wyjaśnienie firmy to procent, system dziedziczony i motyw, a faktury dostarczyli użytkownicy. To skromniejszy materiał dowodowy, niż uzasadniałaby waga sprawy, i taki właśnie kształt przyjmuje większość tego typu ujawnień.

Ten wpis znajduje się obok innych udokumentowanych incydentów z udziałem agentów w archiwum incydentów AI, gdzie każdy wpis zawiera własne źródła, poziom ważności, stopień pewności i oznaczenie sporności.