Het open source AI-codeerhulpmiddel OpenCode heeft een deel van zijn gebruikers gewaarschuwd dat hun API-sleutels voor externe AI-providers zijn buitgemaakt bij een inbraak. Het bedrijf zegt dat het om 1,4 procent van de OpenCode Console-gebruikers gaat, specifiek degenen die een externe provider zoals Anthropic, OpenAI of Google aan hun account hadden gekoppeld. Getroffen gebruikers kregen een e-mail; wie niets ontving, is volgens OpenCode niet geraakt.
Medeoprichter Dax Raad zegt dat de aanvallers minstens 48 uur lang de eigen systemen bestookten, met AI-agents als hulpmiddel. De vroegst bekende blootstelling van een sleutel dateert van 17 oktober om 00:30 uur UTC; dezelfde dag maakte OpenCode de inbraak bekend. Het bedrijf noemt het incident een grootschalige “distillation”-aanval: distillation is normaliter een legitieme techniek waarbij een kleiner AI-model leert van de uitvoer van een krachtiger model, maar wordt een aanval zodra dat op grote schaal gebeurt via ongeautoriseerde toegang tot andermans sleutels. De aanvallers lijken de buitgemaakte sleutels dus vooral te hebben gebruikt om op kosten van slachtoffers massaal AI-modellen te bevragen.
Meerdere gebruikers melden financiële schade: één gebruiker rapporteerde meer dan 1.700 dollar aan onverwachte kosten in één nacht, en bij anderen schortte Google projecten op wegens “misbruik dat past bij gekaapte resources.” OpenCode geeft aan dat getroffen gebruikers mogelijk in aanmerking komen voor vergoeding. Volgens het bedrijf is er geen bewijs dat ook andere gegevens zijn buitgemaakt. Het eigen onderzoek liep aanvankelijk vertraging op doordat de AI-modellen die OpenCode zelf wilde inzetten verzoeken weigerden vanwege ingebouwde veiligheidsgrenzen; de situatie stabiliseerde pas nadat het bedrijf overstapte op Daybreak, OpenAI’s eigen cybersecuritymodel. Hoe de aanvallers oorspronkelijk aan de sleutels kwamen, maakt OpenCode niet bekend.
Gebruikt u OpenCode met een eigen gekoppelde API-sleutel voor Anthropic, OpenAI of Google, controleer dan sowieso het gebruiks- en kostenoverzicht in het dashboard van die provider, ook als u geen waarschuwingsmail kreeg. Ziet u toch onverklaarbare kosten of een opgeschort project, roteer de gekoppelde sleutel dan direct en neem contact op met zowel OpenCode als de betreffende AI-provider.
Bron: BleepingComputer
Wat betekent dit voor jouw bedrijf?
Gebruikt uw ontwikkelteam OpenCode of vergelijkbare AI-codeertools met eigen API-sleutels gekoppeld? Zet voor dit soort sleutels een hard uitgaven-limiet in bij de provider zelf, zodat een gestolen sleutel nooit tot een onbeperkte rekening kan leiden.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.