Bảng điều khiển đã ngừng sử dụng của OpenCode làm rò rỉ khóa nhà cung cấp AI của người dùng — và một số khoản phí đã bị tiêu mất

OpenCode, coding agent mã nguồn mở do Anomaly (trước đây là SST) phát triển, đã công bố vào ngày 17 tháng 10 năm 2026rằng một bên không được phép đã truy cập được vào một hệ thống Console cũ mà công ty đang trong quá trình ngừng sử dụng, và rằng các khóa nhà cung cấp AI bên thứ ba được lưu trong workspace của một số người dùng “có thể đã bị lộ” — trong đó có thông tin xác thực của OpenAI, Anthropic và Google. OpenCode cho biết vụ vi phạm ảnh hưởng đến khoảng 1,4% người dùng Console, cụ thể là “một nhóm người dùng đã liên kết các nhà cung cấp bên ngoài”, và rằng công ty đã gửi email đến mọi tài khoản bị ảnh hưởng. Công ty mô tả sự cố là “một cuộc tấn công chưng cất quy mô lớn.” Chỉ trong vòng một ngày, những người dùng được nêu tên đã nói với phóng viên rằng các khóa đã bị sử dụng: Dealroom đưa tin về 281 đô la phí phát sinh trên khóa OpenAI của một người dùng và 168 đô la trên khóa Anthropic của cùng người dùng đó, hơn 700 đô la trên một tài khoản khác, và 1.700 đô la trên tài khoản thứ ba.

Khoảng cách đó — giữa một tuyên bố của công ty về một tỷ lệ phần trăm và những người dùng đang giữ hóa đơn — chính là toàn bộ câu chuyện của hồ sơ này. Phần công bố thì ngắn, phần tường thuật kỹ thuật thì vắng mặt, còn phần tường thuật tài chính đến từ những người đã bị xuất hóa đơn.

Những gì OpenCode đã nói, bằng chính lời của nó

Bài đăng công khai của công ty dài ba câu. “Đêm qua chúng tôi đã gặp một vụ vi phạm bảo mật liên quan đến một cuộc tấn công chưng cất quy mô lớn ảnh hưởng đến 1,4% người dùng OpenCode Console,” bài đăng viết, theo văn bản được trích dẫn trên Hacker News và bởi OfficeChai. “Sáng nay chúng tôi đã thông báo cho tất cả họ qua email. Nếu bạn không nhận được email thì bạn không bị ảnh hưởng, đó là một nhóm người dùng có liên kết các nhà cung cấp bên ngoài.”

Một thông báo cộng đồng dài hơn một chút, do nhóm OpenCode đăng và được đăng lại trên Hacker News, đã bổ sung cơ chế này trong phạm vi những gì công ty đã mô tả: "Chúng tôi đã xác định được việc truy cập trái phép vào một hệ thống cũ mà chúng tôi đang trong quá trình ngừng vận hành. Các khóa của nhà cung cấp bên thứ ba (ví dụ: OpenAI, Anthropic) được lưu trong không gian làm việc của bạn có thể đã bị lộ. Vui lòng thu hồi và thay thế các khóa đó thông qua bảng điều khiển của nhà cung cấp liên quan, cập nhật mọi ứng dụng đang sử dụng chúng và xem xét mức sử dụng gần đây để tìm hoạt động bất thường. Chúng tôi xin lỗi vì sự việc này đã xảy ra và sẽ theo dõi để cập nhật thêm."

Điều công ty không công bố cũng quan trọng như điều công ty đã công bố. Tính đến ngày 19 tháng 10 năm 2026, không có nguyên nhân gốc, không có mô tả về cách hệ thống cũ bị truy cập, không có tuyên bố về việc kẻ xâm nhập đã có quyền truy cập trong bao lâu, không có số lượng tuyệt đối các tài khoản bị ảnh hưởng đằng sau con số 1,4%, không có con số tổng thiệt hại, không có chính sách hoàn trả và không có phân tích sau sự cố. OpenCode nói vào thời điểm đó rằng "sự cố đang diễn ra nên hiện tại chúng tôi không thể chia sẻ thêm chi tiết." CyberSecurityNews ghi nhận những thiếu sót tương tự và nói thêm rằng OpenCode không cung cấp bằng chứng kỹ thuật nào liên kết thông tin đăng nhập bị lộ với hoạt động chưng cất.

Dòng thời gian và điểm mà các báo cáo khác biệt

Bài đăng của OpenCode được ghi ngày 17 tháng 10 năm 2026 và đề cập rằng vụ xâm nhập đã xảy ra "đêm qua", khiến thời điểm xâm nhập rơi vào qua đêm giữa ngày 16 và 17 tháng 10. Bài gửi trên Hacker News về tuyên bố của công ty có dấu thời gian là 18:01 UTC ngày 17 tháng 10. Hai ngày sau, đồng sáng lập Dax Raad cho biết những kẻ tấn công đã "liên tục cố gắng tấn công hệ thống của chúng tôi trong 48 giờ qua", và rằng "các tài khoản cá nhân của tôi hiện cũng đang bị tấn công", mô tả đó là một "thế giới hoàn toàn mới với hacking được hỗ trợ bởi AI" (OfficeChai).

Thời điểm gửi thông báo là điểm duy nhất mà các bản tường thuật đã công bố không thống nhất với nhau. OpenCode cho biết đã thông báo cho người dùng bị ảnh hưởng “sáng nay”. Startup Fortune đưa tin Anomaly đã gửi email cho người dùng bị ảnh hưởng vào ngày 17 tháng 10 nhưng lưu ý rằng các nguồn không thống nhất về việc thông báo được gửi vào sáng ngày 17 hay ngày 18; OfficeChai, đơn vị ghi ngày cả bài đăng của OpenCode và Raad là 17 tháng 10, cho rằng tuyên bố cộng đồng và các email được đưa ra vào sáng ngày 18 tháng 10. Startup Fortune cũng đưa tin rằng người dùng được yêu cầu xem lại nhật ký thanh toán và sử dụng tính ngược về ngày 17 tháng 10 — một mốc thời gian quan trọng, vì một số người dùng báo cáo các khoản phí không rõ nguyên nhân trước khi thông báo đầu tiên được gửi đến.

Những gì đã được lưu trữ, và vì sao điều đó lại quan trọng

Sự lộ lọt này chỉ liên quan cụ thể đến OpenCode Console, bảng điều khiển trực tuyến nơi lưu giữ tài khoản, gói đăng ký và thông tin xác thực của nhà cung cấp được liên kết — chứ không phải chỉ riêng CLI mã nguồn mở. Dealroom đưa tin rằng Console lưu trữ khóa nhà cung cấp của người dùng trên máy chủ của OpenCode, và rằng OpenCode hỗ trợ các mô hình từ hơn 75 nhà cung cấp với việc người dùng tự cung cấp khóa API riêng tư của họ. Chính thiết kế đó đã biến một vụ xâm phạm một hệ thống nội bộ thành vụ xâm phạm thông tin xác thực được lưu giữ tại ba phòng thí nghiệm AI riêng biệt cùng một lúc.

OpenCode đã nêu tên OpenAI, Anthropic và Google là những nhà cung cấp có khóa nằm trong phạm vi, và cho biết đang làm việc với cả ba “để khắc phục sự cố”. Hành động duy nhất từ phía nhà cung cấp được báo cáo cho đến nay là thông tin được báo lại gián tiếp: Dealroom đưa tin rằng Anthropic cho biết đã thu hồi các khóa API Claude bị ảnh hưởng. Không có trích dẫn trực tiếp nào từ OpenAI hay Google trong các bài đưa tin được xem xét cho bài viết này, và chưa nhà cung cấp nào công bố tuyên bố của riêng mình.

Những hóa đơn mà người dùng nói đã đến

Thiệt hại tài chính không xuất phát từ công bố của OpenCode — công ty chưa công bố con số thiệt hại nào — mà từ những người dùng cá nhân đã nói chuyện với phóng viên. Bài tường thuật của Dealroom, công bố ngày 18 tháng 10, nêu tên ba người:

• Colin Parsons, người mà khóa OpenAI của anh, theo cách nói của tờ báo, đã bị "cày" hết$281, và khóa Anthropic của anh bị tính phí $168.

• Preston Zeller, người đã báo cáo khoản lỗ $1,700.

• Francisco Giancarelli, người đã thấy hơn 700 đô la phí sử dụng OpenAI trước khi anh ấy dừng nó.

Cryptobriefing, không nêu tên cá nhân nào, mô tả các hóa đơn “tăng lên đến hàng trăm đô la” và nói thẳng rằng tài liệu nguồn không nêu rõ các khoản phí từ những truy vấn trái phép sẽ được xử lý như thế nào. Điều đó vẫn đúng sau hai ngày: chưa có cam kết hoàn tiền nào được công bố.

Hai nhóm tổn hại khác được cáo buộc nhưng chưa được xác minh. Startup Fortune đưa tin rằng một người dùng nói Google đã tạm ngưng dự án Google Cloud của họ sau sự cố, và một người khác nói OpenAI đã xóa tài khoản của họ vì vi phạm điều khoản liên quan đến sự cố — những bài đăng riêng lẻ trên X mà tờ này cho biết không thể xác minh. Riêng trình theo dõi vấn đề GitHub của chính OpenCode có các báo cáo do người dùng gửi lên, gây khó xử khi đặt cạnh tuyên bố của công ty rằng “nếu bạn không nhận được email thì bạn không bị ảnh hưởng”. Vấn đề #56833, được gửi ngày 18 tháng 10, đến từ một thuê bao nói rằng không gian làm việc của họ chưa từng chứa khóa OpenAI, Anthropic hay Google — chỉ có khóa OpenCode Go — vậy mà khóa của họ đã bị thu hồi mà không đặt ngày hết hạn, và người này yêu cầu một chính sách đền bù chưa được công bố. Vấn đề #56703, được gửi cùng ngày, báo cáo các không gian làm việc hiển thị “Workspace access restricted” kể từ ngày 17 tháng 10, từ một người dùng nói rằng họ không nhận được email về vụ rò rỉ. Đây là những báo cáo chưa được xác nhận của người dùng, không phải tuyên bố của công ty, nhưng chúng cho thấy việc khắc phục đã chạm đến các tài khoản nằm ngoài nhóm đã được gửi email.

“Tấn công chưng cất”: cụm từ đó đang có tác dụng gì

Cách đặt vấn đề của OpenCode là một tuyên bố về động cơ, không phải mô tả lỗ hổng, và công ty chưa công bố bất cứ điều gì để chứng minh điều đó. Cryptobriefing mô tả mục đích bề ngoài là thu thập đầu ra mô hình chất lượng cao có thể được dùng để huấn luyện các mô hình cạnh tranh mà không phải trả tiền cho điện toán hoặc nghiên cứu ban đầu, và lưu ý rằng Anthropic đã mô tả các phương pháp chưng cất tương tự vào tháng 2 năm 2026. Đó là một sự tái dựng hợp lý về ý định. Đó không phải bằng chứng về việc ai đã làm điều này hoặc họ đã chạy những gì.

Tuyên bố này ngay lập tức làm dấy lên sự hoài nghi từ các nhà nghiên cứu và người dùng. Startup Fortune đã dẫn lời nhà nghiên cứu Nathan Lamberthỏi rằng liệu “distillation” có nghĩa là huấn luyện các mô hình hạ nguồn “hay một kiểu mẫu mờ ám kỳ lạ nào đó để sử dụng token thu được bất hợp pháp hay không”, và dẫn lời một người dùng phản đối rằng “Khóa khách hàng bị xâm phạm. Có lẽ được dùng để distillation? Đây không phải là một cuộc tấn công distillation.” Trên Hacker News, những người bình luận cũng nhấn mạnh cùng một điểm — rằng cách diễn đạt này đến từ một công ty mà các nhà cung cấp của họ đã dành cả năm để lập luận rằng distillation là một mối đe dọa thương mại mang tính sống còn, và rằng không có nhật ký truy vấn, không có phân tích lưu lượng và không có quy kết nào được công bố. Sự phân biệt này quan trọng với bất kỳ ai đọc hồ sơ sau này: một vụ xâm phạm thông tin xác thực đã được xác lập; mục đích đằng sau nó mới chỉ là khẳng định.

Điều gì đã thay đổi sau khi tiết lộ

Hướng dẫn của OpenCode dành cho người dùng bị ảnh hưởng là thu hồi và thay thế mọi khóa nhà cung cấp đã liên kết thông qua bảng điều khiển OpenAI, Anthropic và Google, cập nhật mọi ứng dụng đang sử dụng các khóa đó, đồng thời rà soát mức sử dụng và hóa đơn của nhà cung cấp để tìm hoạt động bất thường. Startup Fortune đưa tin thêm một lời khuyên nữa trong thông báo: không sử dụng các liên kết trong email về vụ vi phạm mà hãy truy cập trực tiếp vào bảng điều khiển của các nhà cung cấp. Trang này cũng đưa tin rằng người dùng được yêu cầu kiểm tra nhật ký thanh toán từ ngày 17 tháng 10 và đặt giới hạn chi tiêu để hạn chế rủi ro phát sinh từ một khóa bị đánh cắp.

Về phía Console, biện pháp khắc phục có thể thấy được là thu hồi và hạn chế chứ không phải công bố thông tin. Người dùng báo cáo rằng các khóa biến mất khỏi tài khoản và các workspace bị khóa; OpenCode chưa công bố những gì đã thay đổi trong hệ thống cũ, liệu hệ thống đó đã bị tắt hoàn toàn hay chưa, hoặc cách họ phát hiện truy cập. S​tep Security, một nhà cung cấp bảo mật, đã công bố hướng dẫn ứng phó trong vòng một ngày — bao gồm đường dẫn tệp thông tin xác thực cục bộ nơi các nhà cung cấp được liên kết được ghi lại trên máy của nhà phát triển — đồng thời lưu ý rằng công cụ của họ có thể xác định các bản cài đặt CLI nhưng không thể xác định liệu một nhà phát triển có tài khoản Console hay không hoặc những nhà cung cấp nào được liên kết với tài khoản đó. Bản thân hạn chế đó là một phát hiện: không thể tái dựng phạm vi ảnh hưởng từ phía máy khách.

Điều gì đã được xác lập, và điều gì chưa.

Đã được xác lập, dựa trên các tuyên bố của chính OpenCode và nhiều báo cáo độc lập: một bên không được phép đã truy cập vào một hệ thống Console cũ; các khóa của nhà cung cấp bên thứ ba dành cho OpenAI, Anthropic và Google có thể đã bị lộ; khoảng 1,4% người dùng Console, tức nhóm người dùng có liên kết với các nhà cung cấp bên ngoài, đã được thông báo qua email; công ty đang phối hợp với ba nhà cung cấp; Anthropic đã thu hồi các khóa Claude bị ảnh hưởng, theo Dealroom; và những người dùng được nêu tên đã báo cáo các khoản phí trái phép từ hàng trăm đến vài nghìn đô la.

Chưa được xác định: 1,4% đại diện cho bao nhiêu tài khoản; kẻ xâm nhập đã vào bằng cách nào; chúng đã có quyền truy cập trong bao lâu; liệu mọi khóa bị lộ có được sử dụng hay không; các truy vấn nhằm mục đích gì; liệu có dữ liệu nào ngoài khóa của nhà cung cấp bị lấy đi hay không; tổng thiệt hại là bao nhiêu; và liệu có ai sẽ được hoàn tiền hay không. OpenCode chưa công bố báo cáo điều tra sau sự cố, và tuyên bố của họ rằng sự cố đang "tiếp diễn" vẫn chưa được chính thức rút lại.

Sự chứng thực ở đây rộng nhưng nông ở một khía cạnh cụ thể. Trong vòng 48 giờ, thông tin tiết lộ đã được đưa tin bởi CyberSecurityNews, OfficeChai, Startup Fortune, Notebookcheck, Dealroom, Cryptobriefing, The420.in, TOKENPOST, FourWeekMBA, BigGo Finance và Step Security, và OECD.AI Incidents and Hazards Monitor liệt kê sự kiện ngày 17 tháng 10 năm 2026, phân loại tác hại là Kinh tế/Tài sản và nguyên tắc AI bị ảnh hưởng là tính vững chắc và an ninh kỹ thuật số. Điều đó chứng thực rằng việc tiết lộ đã xảy ra, rằng cách diễn đạt của nó đúng như được đưa tin, và rằng tác hại tài chính đã được những người khác coi trọng. Nó không xác minh độc lập lời kể nội bộ của OpenCode về vụ xâm nhập, vì dường như không có cơ quan truyền thông nào có được lời kể đó. Không có thông báo của cơ quan quản lý và không có khuyến cáo từ nhà cung cấp OpenAI hay Google trong hồ sơ.

Cách lưu trữ các tệp đó

Kho lưu trữ ghi nhận đây là một sự cố — một sự kiện liên quan đến AI đã xảy ra thay vì một dự báo — với mức độ nghiêm trọng cao, độ tin cậy được xếp hạng A, real_harm được ghi nhận là đúng, và không bị tranh chấp. Các thẻ loại là CRED và INFRA: một sự xâm phạm thông tin xác thực đối với hạ tầng của một nền tảng tác nhân. Cờ không tranh chấp liên quan đến sự kiện, không phải cách diễn đạt về chưng cất; kho lưu trữ không coi tuyên bố về động cơ của OpenCode là một phát hiện đã được xác lập, và người đọc cũng không nên như vậy.

Hai điều khiến hồ sơ này đáng được lưu giữ vượt ra ngoài những con số đô-la của nó. Thứ nhất là khía cạnh kiến trúc: một nền tảng agent lưu khóa của khách hàng để truy cập ba phòng thí nghiệm cạnh tranh trên máy chủ của chính mình sẽ tập trung rủi ro mà lẽ ra nằm ở từng khách hàng, và việc ngừng vận hành một hệ thống không đồng nghĩa với việc vô hiệu hóa các thông tin xác thực bên trong nó. Thứ hai là khía cạnh chứng cứ: lời giải trình của chính công ty chỉ là một tỷ lệ phần trăm, một hệ thống kế thừa và một động cơ, cùng với các hóa đơn do người dùng cung cấp. Đó là một hồ sơ mỏng hơn mức độ nghiêm trọng đòi hỏi, và đó vẫn là hình dạng mà phần lớn các công bố kiểu này vẫn mang.

Bản ghi này nằm cùng với các sự cố tác nhân đã được ghi nhận khác trong kho lưu trữ sự cố AI, nơi mỗi mục chứa nguồn, mức độ nghiêm trọng, cấp độ tin cậy và cờ tranh chấp riêng của nó.