OpenCodes avvecklade konsol läckte användarnas AI-leverantörsnycklar – och en del av kostnaderna hade redan uppstått

OpenCode, kodagenten med öppen källkod som byggts av Anomaly (tidigare SST), meddelade den 17 oktober 2026 att en obehörig part hade nått ett äldre Console-system som man höll på att avveckla, och att AI-nycklar från tredjepartsleverantörer som lagrats i vissa användares arbetsytor "kan ha exponerats" – bland dem autentiseringsuppgifter för O​penAI, A​nthropic och G​oogle. OpenCode uppgav att intrånget påverkade omkring 1,4 % av Console-användarna, närmare bestämt "en delmängd användare som hade externa leverantörer kopplade", och att man hade mejlat alla berörda konton. Företaget beskrev incidenten som "en storskalig destillationsattack." Inom ett dygn berättade namngivna användare för reportrar att nycklarna hade använts: Dealroom rapporterade $281 i debiteringar på en användares O​penAI-nyckel och $168 på samma användares A​nthropic-nyckel, mer än $700 på ett annat konto och $1,700 på ett tredje.

Det gapet – mellan ett företags uttalande om en procentandel och användare som sitter på fakturor – är hela historien bakom den här redogörelsen. Redogörelsen är kort, den tekniska beskrivningen saknas, och den ekonomiska beskrivningen kommer från dem som fakturerades.

Vad OpenCode sa, med sina egna ord

Företagets offentliga inlägg var tre meningar långt. "Vi hade ett säkerhetsintrång i går natt relaterat till en storskalig destillationsattack som drabbade 1,4 % av användarna av OpenCode Console", stod det, enligt texten som citerades på Hacker News och av OfficeChai. "Vi har meddelat dem alla i morse via e-post. Om du inte fick ett e-postmeddelande blev du inte drabbad; det var en delmängd av användare som hade externa leverantörer kopplade."

Ett något längre meddelande till communityn, publicerat av OpenCode-teamet och återgivet på Hacker News, beskrev mekanismen så långt företaget har redogjort för den: "Vi identifierade obehörig åtkomst till ett äldre system som vi höll på att avveckla. Nycklar från tredjepartsleverantörer (t.ex. O​penAI, A​nthropic) som sparats i din arbetsyta kan ha exponerats. Återkalla och ersätt dessa nycklar via respektive leverantörs instrumentpanel, uppdatera eventuella program som använder dem och granska den senaste tidens användning för att upptäcka oväntad aktivitet. Vi beklagar att detta hände och återkommer med eventuella uppdateringar."

Det företaget inte publicerade är lika viktigt som det som det publicerade. Per den 19 oktober 2026 finns det ingen grundorsak, ingen beskrivning av hur det äldre systemet nåddes, inget uttalande om hur länge en inkräktare hade åtkomst, ingen absolut siffra på antalet drabbade konton bakom siffran 1,4 %, ingen siffra på den totala förlusten, ingen ersättningspolicy och ingen efterhandsanalys. OpenCode sade vid den tidpunkten att "incidenten pågår fortfarande, så vi kan inte dela mer information i detta skede". CyberSecurityNews noterade samma frånvarande uppgifter och tillade att OpenCode inte tillhandahöll några tekniska bevis som kopplade de exponerade inloggningsuppgifterna till destillationsaktivitet.

Tidslinjen, och var rapporterna går isär

OpenCodes inlägg är daterat 17 oktober 2026 och hänvisar till intrånget som att det skedde "i går natt", vilket placerar intrånget under natten mellan 16 och 17 oktober. Hacker News-inlämningen av företagets uttalande har en tidsstämpel på 18:01 UTC den 17 oktober. Två dagar senare sade medgrundaren Dax Raad att angripare hade "oavbrutet försökt attackera våra system de senaste 48 timmarna", och att "mina personliga konton attackeras nu också", och beskrev det som "en helt ny värld med ai-driven hacking" (OfficeChai).

Tidpunkten för aviseringen är den enda punkt där de publicerade uppgifterna går isär. OpenCode uppgav att man hade meddelat drabbade användare "i morse". Startup Fortune rapporterade att Anomaly mejlade drabbade användare den 17 oktober men noterade att källorna går isär om meddelandena skickades på morgonen den 17:e eller den 18:e; OfficeChai, som daterade både OpenCodes och Raads inlägg till 17 oktober, placerade gemenskapsuttalandet och mejlen på morgonen den 18 oktober. Startup Fortune rapporterade också att användarna uppmanades att granska fakturerings- och användningsloggar från och med den 17 oktober – en gräns som spelar roll, eftersom vissa användare rapporterade oförklarliga avgifter innan den första aviseringen kom.

Vad som lagrades, och varför det spelade roll

Exponeringen gäller specifikt OpenCode Console, den värdbaserade instrumentpanelen där konton, prenumerationer och kopplade leverantörsuppgifter finns – inte CLI:t med öppen källkod i sig. Dealroom rapporterade att Console lagrar användarnas leverantörsnycklar på OpenCode servrar, och att OpenCode stöder modeller från fler än 75 leverantörer där användare tillhandahåller sina egna privata API-nycklar. Det är den konstruktionen som gjorde att ett intrång i ett internt system blev ett intrång i autentiseringsuppgifter som fanns hos tre separata AI-laboratorier samtidigt.

OpenCode namngav OpenAI, Anthropic och Google som de leverantörer vars nycklar omfattades, och uppgav att man arbetade med alla tre "för att åtgärda problemet". Den enda åtgärd på leverantörssidan som hittills rapporterats kom från andrahandskällor: Dealroom rapporterade att Anthropic uppgav att man hade återkallat berörda Claude API-nycklar. Varken OpenAI eller Google har citerats direkt i den bevakning som granskats för den här artikeln, och ingen leverantör har publicerat ett eget uttalande.

Räkningarna som användarna säger har kommit

Den ekonomiska skadan kommer inte från OpenCodes avslöjande – företaget har inte publicerat någon förlustsiffra – utan från enskilda användare som talade med reportrar. Dealrooms redogörelse, publicerad 18 oktober, namnger tre:

• Colin Parsons, vars OpenAI-nyckel enligt publikationens ord hade "pundats" för $281, och vars Anthropic-nyckel debiterades $168.

• Preston Zeller, som rapporterade förluster på 1 700 dollar.

• Francisco Giancarelli, som såg mer än $700 i OpenAI-användning innan han stoppade den.

Cryptobriefing, som inte namngav några individer, beskrev räkningar som "stiger till hundratals dollar" och konstaterade rakt ut att källmaterialet inte anger hur kostnader från obehöriga förfrågningar kommer att hanteras. Det gäller fortfarande två dagar senare: inget åtagande om återbetalning har publicerats.

Ytterligare två kategorier av skada påstås men är obekräftade. Startup Fortune rapporterade att en användare sade att G​oogle stängde av deras G​oogle Cloud-projekt efter incidenten, och en annan sade att O​penAI raderade deras konto för ett brott mot villkoren kopplat till den — enskilda inlägg på X som mediet uppgav att det inte kunde verifiera. Separat innehåller OpenCodes egen GitHub-ärendespårare användarinsända rapporter som skaver mot företagets linje "om du inte fick ett e-postmeddelande påverkades du inte". Ärende #56833, som lämnades in den 18 oktober, kommer från en prenumerant som säger att deras arbetsyta aldrig innehöll någon O​penAI-, A​nthropic- eller G​oogle-nyckel — bara en OpenCode Go-nyckel — men att deras nyckel ändå återkallades utan att något utgångsdatum hade angetts, och som efterfrågar en kompensationspolicy som inte har publicerats. Ärende #56703, som lämnades in samma dag, rapporterar arbetsytor som visar "Workspace access restricted" sedan den 17 oktober, från en användare som säger sig inte ha fått något e-postmeddelande om intrånget. Detta är obekräftade användarrapporter, inte företagsuttalanden, men de tyder på att åtgärderna berörde konton utanför den delmängd som fick e-post.

"Destillationsattack": vad den frasen gör

OpenCodes inramning är ett motivpåstående, inte en sårbarhetsbeskrivning, och företaget har inte publicerat något som stöder det. Cryptobriefing beskrev det uppenbara syftet som att samla in högkvalitativa modellutdata som skulle kunna användas för att träna konkurrerande modeller utan att betala för beräkningskapaciteten eller den ursprungliga forskningen, och noterade att A​nthropic hade beskrivit liknande destillationsmetoder i februari 2026. Det är en rimlig rekonstruktion av avsikten. Det är inte bevis för vem som gjorde detta eller vad de körde.

Påståendet väckte omedelbar skepsis bland forskare och användare. Startup Fortune citerade forskaren Nathan Lambertsom frågade om "destillation" innebar att träna nedströmsmodeller "eller något annat konstigt skumt mönster för att använda olagligt erhållna tokens", och citerade en användare som invände att "Kundnycklar har läckt. Förmodligen använda för destillation? Det här är inte en destillationsattack." På Hacker News tryckte kommentatorer på samma punkt – att inramningen kommer från ett företag vars leverantörer har ägnat året åt att hävda att destillation är ett existentiellt kommersiellt hot, och att inga förfrågningsloggar, ingen trafikanalys och ingen attribution har släppts. Distinktionen spelar roll för alla som läser protokollet senare: ett intrång i autentiseringsuppgifter är fastställt; syftet bakom det är påstått.

Vad förändrades efter avslöjandet

OpenCodes instruktioner till drabbade användare var att återkalla och ersätta varje länkad leverantörsnyckel via OpenAI-, Anthropic- och Google-panelerna, uppdatera varje applikation som använder dessa nycklar och granska leverantörens användning och fakturering för oväntad aktivitet. Startup Fortune rapporterade ytterligare ett råd i meddelandet: använd inte länkar i intrångsmejlet, utan gå direkt till leverantörernas paneler. Det rapporterade också att användarna uppmanades att kontrollera faktureringsloggar från och med den 17 oktober och att sätta utgiftsgränser för att begränsa exponeringen från en stulen nyckel.

På Console-sidan har de synliga åtgärderna varit återkallande och begränsning snarare än offentliggörande. Användare rapporterar att nycklar försvinner från konton och att arbetsytor låses; OpenCode har inte offentliggjort vad man ändrade i det äldre systemet, huruvida systemet nu är helt avstängt eller hur man upptäckte åtkomsten. Säkerhetsleverantören S​tep Security publicerade vägledning för incidentrespons inom ett dygn – inklusive de lokala sökvägarna till autentiseringsfiler där länkade leverantörer registreras på utvecklarmaskiner – samtidigt som man noterade att verktygen kan identifiera CLI-installationer men inte avgöra om en utvecklare har ett Console-konto eller vilka leverantörer som är länkade till det. Den begränsningen är i sig ett fynd: skadeomfånget kan inte rekonstrueras från klientsidan.

Vad är fastställt, och vad är inte det

Baserat på OpenCodes egna uttalanden och flera oberoende rapporter: en obehörig part nådde ett äldre Console-system; tredjepartsleverantörers nycklar för OpenAI, Anthropic och Google kan ha exponerats; ungefär 1,4 % av Console-användarna, den delmängd som har externa leverantörer kopplade, meddelades via e-post; företaget samordnar med de tre leverantörerna; Anthropic återkallade påverkade Claude-nycklar enligt Dealroom; och namngivna användare rapporterade obehöriga debiteringar på hundratals till låga tusentals dollar.

Inte fastställt: hur många konton 1,4 % motsvarar; hur inkräktaren kom in; hur länge inkräktaren hade åtkomst; om varje exponerad nyckel användes; vad frågorna gällde; om några andra data än leverantörsnycklar togs; vad den totala förlusten uppgick till; och om någon kommer att få ersättning. OpenCode har inte publicerat någon efterhandsanalys, och dess uttalande att incidenten var "pågående" har inte formellt dragits tillbaka.

Stödet här är brett men ytligt på ett specifikt sätt. Inom 48 timmar hade avslöjandet spridits av CyberSecurityNews, OfficeChai, Startup Fortune, Notebookcheck, Dealroom, Cryptobriefing, The420.in, TOKENPOST, FourWeekMBA, BigGo Finance och S​tep Security, och OECD.AI Incidents and Hazards Monitor listar händelsen med datumet 17 oktober 2026, och klassificerar skadan som ekonomisk/egendom och den berörda AI-principen som robusthet och digital säkerhet. Det som bekräftas är att avslöjandet ägde rum, att dess formulering är som rapporterad och att den ekonomiska skadan togs på allvar av andra. Det verifierar inte oberoende OpenCodes interna redogörelse för intrånget, eftersom ingen publikation tycks ha fått tag i någon sådan. Det finns ingen underrättelse från någon tillsynsmyndighet och ingen leverantörsrådgivning från O​penAI eller G​oogle i underlaget.

Hur arkivet arkiverar det

Arkivet registrerar detta som en incident — en realiserad AI-relaterad händelse snarare än en prognos — med allvarlighetsgrad hög, konfidens graderad A, real_harm registrerat som sant och inte bestritt. Typetiketterna är CRED och INFRA: en kompromettering av autentiseringsuppgifter i en agentplattforms infrastruktur. Flaggan för "inte bestritt" gäller händelsen, inte destilleringsinramningen; arkivet behandlar inte OpenCodes motivpåstående som en fastställd slutsats, och det bör inte en läsare göra heller.

Två saker gör att den här redogörelsen är värd att bevara bortom sina dollarbelopp. Det första är arkitektoniskt: en agentplattform som lagrar kunders nycklar till tre konkurrerande labb på sina egna servrar koncentrerar risk som annars skulle ligga hos varje enskild kund, och att avveckla ett system innebär inte att man avvecklar de autentiseringsuppgifter som finns i det. Det andra är bevismässigt: företagets egen redogörelse är en procentsats, ett äldre system och ett motiv, med fakturorna som tillhandahållits av användarna. Det är ett tunnare underlag än allvaret motiverar, och det är den form som de flesta av dessa avslöjanden fortfarande har.

Den här posten återfinns tillsammans med de andra dokumenterade agentincidenterna i AI-incidentarkivet, där varje post har sina egna källor, allvarlighetsgrad, tillförlitlighetsgrad och flagga för omtvistad status.