Выведенная из эксплуатации консоль OpenCode допустила утечку пользовательских ключей к AI-провайдерам — а по некоторым счетам уже прошли списания

OpenCode — открытый агент для программирования, созданный Anomaly (ранее SST), — сообщил 17 октября 2026 года, что посторонняя сторона получила доступ к устаревшей системе Console, которую компания в тот момент выводила из эксплуатации, и что ключи сторонних AI-провайдеров, хранившиеся в рабочих пространствах некоторых пользователей, «могли быть раскрыты» — среди них учётные данные OpenAI, Anthropic и Google. OpenCode сообщила, что утечка затронула около 1,4% пользователей Console, а именно «часть пользователей, у которых были подключены внешние провайдеры», и что компания отправила письмо каждому затронутому аккаунту. Компания охарактеризовала инцидент как «масштабную атаку дистилляции». В течение суток пользователи, назвавшие свои имена, рассказывали журналистам, что ключи были использованы: Dealroom сообщил о списаниях в размере $281 по ключу OpenAI одного пользователя и $168 по ключу Anthropic того же пользователя, более $700 по другому аккаунту и $1 700 по третьему.

Этот разрыв — между заявлением компании о некоем проценте и пользователями, у которых на руках счета, — и есть вся суть этой истории. Раскрытие информации краткое, технического описания нет, а финансовую картину дают сами те, кому выставили счета.

Что сказал OpenCode, его собственными словами

Публикация компании состояла из трёх предложений. «Прошлой ночью у нас произошла утечка безопасности, связанная с широкомасштабной атакой дистилляции, которая затронула 1,4% пользователей OpenCode Console», — говорилось в ней, согласно тексту, процитированному на Hacker News и OfficeChai. «Мы уведомили их всех сегодня утром по электронной почте. Если вы не получили письмо, вас это не затронуло; это была подгруппа пользователей, у которых были подключены внешние провайдеры».

Несколько более длинное уведомление для сообщества, опубликованное командой OpenCode и воспроизведённое на Hacker News, добавляет описание механизма в той мере, в какой компания его описала: «Мы выявили несанкционированный доступ к устаревшей системе, которую мы выводили из эксплуатации. Ключи сторонних поставщиков (например, OpenAI, Anthropic), сохранённые в вашем рабочем пространстве, могли быть раскрыты. Пожалуйста, отзовите и замените эти ключи через панель управления соответствующего поставщика, обновите все приложения, которые их используют, и проверьте недавнюю активность на предмет неожиданных действий. Мы сожалеем, что это произошло, и будем сообщать о любых обновлениях.»

То, что компания не опубликовала, так же важно, как и то, что она опубликовала. По состоянию на 19 октября 2026 года нет ни первопричины, ни описания того, как был получен доступ к устаревшей системе, ни заявления о том, как долго злоумышленник имел доступ, ни абсолютного числа затронутых аккаунтов, стоящего за цифрой в 1,4%, ни итоговой суммы потерь, ни политики возмещения, ни разбора инцидента после его завершения. OpenCode заявила тогда: «Инцидент продолжается, поэтому на данный момент мы не можем поделиться дополнительными подробностями». CyberSecurityNews отметил те же пробелы и добавил, что OpenCode не предоставила никаких технических доказательств, связывающих скомпрометированные учётные данные с деятельностью по дистилляции.

Хронология и в чём расходятся сообщения

Публикация OpenCode датирована 17 октября 2026 года и указывает, что взлом произошёл «прошлой ночью», что помещает вторжение в ночь с 16 на 17 октября. Публикация заявления компании на Hacker News имеет отметку времени 18:01 UTC 17 октября. Два дня спустя соучредитель Dax Raad заявил, что злоумышленники «непрерывно пытались атаковать наши системы последние 48 часов», и что «мои личные аккаунты сейчас тоже атакуют», описав это как «совершенно новый мир с хакерством на основе ИИ» (OfficeChai).

Сроки рассылки уведомлений — единственный пункт, в котором опубликованные версии расходятся. OpenCode заявил, что уведомил затронутых пользователей «сегодня утром». Startup Fortune сообщил, что Anomaly отправила электронные письма затронутым пользователям 17 октября, но отметил, что источники расходятся в том, были ли уведомления разосланы утром 17-го или 18-го; OfficeChai, датировавший публикации как OpenCode, так и Raad 17 октября, отнёс заявление сообщества и письма к утру 18 октября. Startup Fortune также сообщил, что пользователям рекомендовали проверить журналы выставления счетов и использования за период начиная с 17 октября — важная граница, поскольку некоторые пользователи сообщали о необъяснимых списаниях ещё до получения первого уведомления.

Что хранилось — и почему это было важно

Инцидент касается именно OpenCode Console — облачной панели управления, где хранятся учётные записи, подписки и привязанные учётные данные провайдеров, а не CLI с открытым исходным кодом как такового. Dealroom сообщил, что Console хранит ключи провайдеров пользователей на серверах OpenCode и что OpenCode поддерживает модели более чем 75 провайдеров, при этом пользователи предоставляют собственные приватные API-ключи. Именно из-за такой архитектуры компрометация одной внутренней системы превратилась в компрометацию учётных данных, хранившихся одновременно в трёх отдельных AI-лабораториях.

OpenCode назвал O​penAI, A​nthropic и G​oogle провайдерами, чьи ключи входили в область рассмотрения, и заявил, что работает со всеми тремя, «чтобы устранить проблему». Единственное действие со стороны провайдера, о котором на данный момент сообщалось, стало известно из вторых рук: Dealroom сообщил, что A​nthropic заявила об отзыве затронутых ключей API C​laude. Ни O​penAI, ни G​oogle не цитировались напрямую в публикациях, изученных для этой статьи, и ни один провайдер не опубликовал собственного заявления.

Счета, которые, по словам пользователей, пришли

Финансовый ущерб не следует из раскрытия информации OpenCode — компания не опубликовала ни одной цифры потерь — а вытекает из рассказов отдельных пользователей, которые говорили с журналистами. В публикации Dealroom от 18 октября названы трое:

• Colin Parsons, чей ключ OpenAI, по выражению издания, был «размотан» на $281, а с ключа Anthropic списали $168.

• Престон Зеллер, который сообщил об убытках в размере $1,700.

• Francisco Giancarelli, который потратил более $700 на использование OpenAI, прежде чем остановил это.

Cryptobriefing, не назвавший конкретных лиц, описал счета как «доходящие до сотен долларов» и прямо заявил, что исходные материалы не уточняют, как будут урегулированы списания за несанкционированные запросы. Это остается верным и два дня спустя: никаких обязательств по возмещению не опубликовано.

Заявлены еще две категории вреда, но они не подтверждены. Startup Fortune сообщил, что, по словам одного пользователя, Google приостановил его проект в Google Cloud после инцидента, а другой заявил, что OpenAI удалила его учетную запись за нарушение условий, связанное с этим инцидентом, — это отдельные публикации в X, которые, по словам издания, оно не смогло проверить. Отдельно в собственном трекере проблем OpenCode на GitHub есть поданные пользователями отчеты, которые плохо согласуются с формулировкой компании «если вы не получили письмо, вас это не затронуло». В проблеме №56833, созданной 18 октября, подписчик утверждает, что в его рабочей области никогда не было ключа OpenAI, Anthropic или Google — только ключ OpenCode Go — однако его ключ был отозван без установленной даты истечения, и просит опубликовать политику компенсации, которая до сих пор не обнародована. В проблеме №56703, созданной в тот же день, сообщается, что с 17 октября в рабочих областях отображается сообщение «Доступ к рабочей области ограничен», и пользователь говорит, что не получал письма об утечке. Это неподтвержденные сообщения пользователей, а не заявления компании, но они указывают на то, что меры по устранению последствий затронули учетные записи за пределами подмножества, получившего письма.

«Distillation attack»: что делает эта фраза

Формулировка OpenCode — это утверждение о мотиве, а не описание уязвимости, и компания не опубликовала ничего в его поддержку. Cryptobriefing описал предполагаемую цель как сбор высококачественных выходных данных моделей, которые можно было бы использовать для обучения конкурирующих моделей без оплаты вычислений или оригинальных исследований, и отметил, что Anthropic описывала похожие методы дистилляции в феврале 2026 года. Это правдоподобная реконструкция намерения. Это не доказательство того, кто это сделал или что они запускали.

Это утверждение вызвало немедленный скептицизм у исследователей и пользователей. Startup Fortune процитировал исследователя Nathan Lambert, который спрашивал, означает ли «дистилляция» обучение нижестоящих моделей «или какую-то другую странную сомнительную схему использования незаконно полученных токенов», и процитировал пользователя, возражавшего: «Ключи клиентов скомпрометированы. Предположительно использованы для дистилляции? Это не атака дистилляции». На Hacker News комментаторы настаивали на том же — что такая формулировка исходит от компании, чьи поставщики потратили год, доказывая, что дистилляция представляет собой экзистенциальную коммерческую угрозу, и что не было опубликовано ни журналов запросов, ни анализа трафика, ни атрибуции. Это различие важно для каждого, кто позже будет читать эту запись: утечка учетных данных установлена; цель, стоящая за ней, лишь утверждается.

Что изменилось после раскрытия

Инструкции OpenCode для затронутых пользователей предписывали отозвать и заменить каждый связанный ключ провайдера через панели управления OpenAI, Anthropic и Google, обновить все приложения, использующие эти ключи, и проверить использование услуг и выставление счетов у провайдеров на предмет неожиданной активности. Startup Fortune сообщил еще один совет из уведомления: не используйте ссылки в письме об утечке, а переходите непосредственно в панели управления провайдеров. Также сообщалось, что пользователям рекомендовали проверить журналы выставления счетов с 17 октября и установить лимиты расходов, чтобы ограничить возможные потери от украденного ключа.

На стороне Console видимое устранение последствий выражалось в отзыве и ограничении, а не в раскрытии информации. Пользователи сообщают, что ключи исчезают из аккаунтов, а рабочие пространства блокируются; OpenCode не опубликовал, что именно он изменил в устаревшей системе, полностью ли она теперь отключена и как он обнаружил доступ. S​tep Security, поставщик решений безопасности, в течение дня опубликовал рекомендации по реагированию — включая локальные пути к файлам учётных данных, где на машинах разработчиков записываются сведения о связанных провайдерах, — отметив при этом, что его инструменты могут выявлять установки CLI, но не могут определить, есть ли у разработчика аккаунт Console и какие провайдеры с ним связаны. Это ограничение само по себе является выводом: масштаб последствий невозможно восстановить со стороны клиента.

Что установлено, а что — нет

Установлено на основании заявлений самой OpenCode и нескольких независимых отчётов: посторонняя сторона получила доступ к устаревшей системе Console; ключи сторонних провайдеров — OpenAI, Anthropic и Google — могли быть скомпрометированы; примерно 1,4% пользователей Console, а именно та часть, у которой были подключены внешние провайдеры, были уведомлены по электронной почте; компания координирует действия с тремя провайдерами; по данным Dealroom, Anthropic отозвала затронутые ключи Claude; а конкретные пользователи сообщили о несанкционированных списаниях на суммы от сотен до нескольких тысяч долларов.

Не установлено: сколько аккаунтов составляют 1,4%; как проник злоумышленник; как долго у него был доступ; был ли использован каждый раскрытый ключ; для чего были запросы; были ли похищены какие-либо данные помимо ключей провайдеров; каков был общий ущерб; и получит ли кто-либо компенсацию. OpenCode не опубликовал постмортем, и его заявление о том, что инцидент «продолжается», не было официально отозвано.

Подтверждение здесь широкое, но поверхностное в одном конкретном отношении. В течение 48 часов публикацию распространили CyberSecurityNews, OfficeChai, Startup Fortune, Notebookcheck, Dealroom, Cryptobriefing, The420.in, TOKENPOST, FourWeekMBA, BigGo Finance и Step Security, и OECD.AI Incidents and Hazards Monitor указывает событие, датированное 17 октября 2026 года, классифицируя вред как экономический/имущественный, а затронутый принцип ИИ — как устойчивость и цифровая безопасность. Это подтверждает, что раскрытие произошло, что его формулировка соответствует сообщённой и что финансовый ущерб был воспринят серьёзно другими. Это не подтверждает независимо внутреннюю версию OpenCode о вторжении, поскольку, по-видимому, ни одно издание её не получило. В записи нет ни уведомления регулятора, ни рекомендации поставщика от OpenAI или Google.

Как архив это хранит

Архив фиксирует это как инцидент — реализовавшееся событие, связанное с ИИ, а не прогноз, — с серьёзностью высокой, уверенность оценена как A, real_harm зафиксирован как true, и не оспаривается. Теги типа — CRED и INFRA: компрометация учётных данных инфраструктуры платформы агентов. Флаг неоспоримости относится к событию, а не к фреймингу дистилляции; архив не рассматривает утверждение OpenCode о мотиве как установленный вывод, и читатель тоже не должен.

Есть две причины, по которым этот случай стоит запомнить помимо его долларовых показателей. Первая — архитектурная: агентская платформа, которая хранит на собственных серверах ключи клиентов к трём конкурирующим лабораториям, концентрирует риск, который иначе лежал бы на каждом клиенте отдельно, а вывод системы из эксплуатации не отзывает учётные данные внутри неё. Вторая — доказательная: версия самой компании сводится к проценту, устаревшей системе и мотиву, а счета предоставили пользователи. Это более скудный материал, чем требует тяжесть инцидента, и именно такую форму до сих пор принимает большинство подобных раскрытий.

Эта запись находится в одном ряду с другими задокументированными инцидентами с агентами в архиве инцидентов ИИ, где каждая запись содержит собственные источники, уровень серьёзности, степень уверенности и отметку об оспаривании.