Das Unternehmen erklärte, es habe am Morgen alle betroffenen Nutzer per E-Mail benachrichtigt; Nutzer, die keine E-Mail erhielten, seien nicht betroffen gewesen. Der Projekt-Maintainer erklärte, alle betroffenen Nutzer seien am Morgen per E-Mail benachrichtigt worden; wer keine E-Mail erhalten habe, sei nicht betroffen gewesen, da es sich um eine Teilmenge von Nutzern mit verknüpften externen Anbietern gehandelt habe. Darüber berichten The Hacker News, TechCrunch und BleepingComputer.
Hintergrund
Am 17. Oktober 2026 kündigte OpenCode an, dass es einen großen Distillation-Angriff erlitten habe, der nur Entwickler betraf, die externe Anbieter wie Anthropic, OpenAI und Google verknüpft hatten. Der Beitrag von OpenCode vom 17. Oktober bezeichnete den Vorfall zudem als andauernd, erklärte, das Unternehmen arbeite mit Anthropic, OpenAI und Google an der Behebung, und beschrieb den Vorfall als „related to a large-scale distillation attack“. Die Sicherheitsverletzung ereignete sich in derselben Nacht, in der OpenCode GLM-5.3-Flash für Nutzer kostenlos machte. Die an betroffene Nutzer gesendete E-Mail weist darauf hin, dass die frühestmögliche Offenlegung der Schlüssel der Nutzer am 17. Oktober 2026 um 00:30 UTC erfolgte und dass offenbar keine Daten offengelegt wurden.
Der Mitgründer Dax Raad schrieb in einer Antwort auf X, der Vorfall betreffe „the OpenCode Console, not OpenCode itself“, und diese Schlüssel „never come to us“. Dax Raad schrieb auf X, es handle sich um die OpenCode Console und nicht um OpenCode selbst; diese Schlüssel gelangten nie zu dem Unternehmen. Die offengelegten Schlüssel beschränkten sich auf die Console, wo einige Nutzer sie in Workspaces gespeichert hatten; die quelloffene App und das Kommandozeilenwerkzeug waren nach Angaben von Mitgründer Dax Raad nicht betroffen. OpenCode erklärte außerdem, es arbeite mit Google, OpenAI und Anthropic zusammen, um den Vorfall zu adressieren, könne derzeit jedoch keine weiteren Details mitteilen. Anthropic und Google blockierten beide die API-Schlüssel, die sie für offengelegt hielten, während OpenAI erklärte, mit OpenCode zusammengearbeitet zu haben, um den Zugang wiederherzustellen und seine API-Kunden für in dem Angriff verbrauchte Credits zu erstatten.
Laut dem Projekt-Maintainer betraf der Vorfall 1,4 % der OpenCode-Console-Nutzer, wobei einige über mehr als 1.700 US-Dollar an nicht autorisierten Abrechnungen über Nacht berichteten. Nutzerberichte beanspruchen nach den Lecks privater Schlüssel unautorisierte Abbuchungen in Höhe von mehreren hundert US-Dollar bis zu 1.700 US-Dollar; die Nachricht von OpenCode an betroffene Nutzer erwähnt die Möglichkeit einer Erstattung für Betroffene. Andere Nutzer meldeten Abbuchungen in Höhe von mehreren hundert Dollar auf einzelnen Konten; einige beschrieben Summen von über 1.000 Dollar. Notebookcheck berichtete über die Behauptung eines Reddit-Nutzers von 400 US-Dollar unbefugter Nutzung auf einem Anthropic-Konto und über die eines anderen von etwa 200 Euro Google-Nutzung, woraufhin das Projekt gesperrt worden sei. Mehrere Nutzer berichteten, dass der Vorfall zu nicht autorisierten API-Abrechnungen und zur Sperrung von Projekten in Google Cloud führte. Einige Nutzer berichteten, dass Google ihre Projekte sperrte, nachdem es „abusive activity consistent with hijacked resources“ festgestellt hatte. OpenCode erklärte, Erstattungen für unautorisierte Abbuchungen seien im Gange.
Was offen bleibt
OpenCode hat nicht im Detail dargelegt, wie Angreifer Zugang zu dem älteren System erlangten, wie Schlüssel gespeichert wurden oder wie groß das Ausmaß einer etwaigen missbräuchlichen Nutzung ist. OpenCode erklärte, die Schlüssel „may have been exposed“, und hat nicht gesagt, dass ein Schlüssel kopiert oder verwendet wurde. Das Unternehmen gab nicht an, wie es zu dem Distillationsangriff kam; geleakte API-Schlüssel können Nutzern in Ländern mit eingeschränktem Zugang zu amerikanischen Modellen helfen, die für diesen Prozess nötige hohe Ausgabemenge zu erzeugen. Einige Skeptiker nannten die Darstellung des Unternehmens übertrieben und argumentierten, der Vorfall sei eine schlichte Sicherheitsverletzung, deren Nutzung für Destillation unbewiesen bleibe.
Technischer Hintergrund
Ein Anbieter-Schlüssel ist ein Bearer-Credential: Wer eine Kopie besitzt, kann bis zum Widerruf durch den Anbieter kostenpflichtige Anfragen über das Konto des Eigentümers ausführen; das Löschen des Schlüssels aus Console widerruft ihn nicht, und ein Console-Budget kann diese Nutzung nicht begrenzen. Das Löschen des Schlüssels aus der Console widerruft ihn nicht, und ein Console-Budget kann diese Nutzung ebenfalls nicht begrenzen, weil die Console nur Anfragen sieht, die über ihr eigenes Gateway laufen. Die gefährdeten Schlüssel sind die in Console eingefügten; die OpenCode-Kommandozeilen- und Desktop-Apps speichern auf dem Rechner hinzugefügte Anbieterschlüssel in einer dortigen SQLite-Datenbank. Auf der OpenCode Console speichern einige Nutzer die API-Schlüssel, also digitale Passwörter, mit denen sie auf KI-Dienste zugreifen. Distillation ist der Begriff, den KI-Modellanbieter für Kampagnen verwenden, die die Antworten eines Modells in großem Umfang abziehen, um ein konkurrierendes Modell zu trainieren. Die Technik wird dann zum Angriff, wenn sie groß angelegtes Training durch nicht autorisierte Abfragen umfasst. Ein gestohlener Schlüssel hat auch andere Verwendungen: Kriminelle Märkte verkaufen KI-Tokens und Schlüssel weiter und nutzen sie, um Rechnungen auflaufen zu lassen.
Für einen in einem Console-Workspace gespeicherten Schlüssel empfehlen die E-Mail von OpenCode und die Hinweise der Anbieter, den Schlüssel im Dashboard des Anbieters zu widerrufen und nach den Anweisungen von OpenAI, Anthropic oder Google einen neuen zu erstellen. Zu den empfohlenen Schritten gehört, jede Anwendung und jedes Skript zu aktualisieren, die den alten Schlüssel verwendet haben. Empfohlen wird außerdem, beim Anbieter ein Ausgabenlimit oder einen Alarm zu setzen und jedem Tool einen eigenen Schlüssel zu geben, damit ein kopierter Schlüssel weniger Schaden anrichtet und seine Nutzung leichter nachverfolgbar ist. Das Unternehmen hat betroffenen Nutzern geraten, ihre Schlüssel direkt bei jedem Anbieter zu widerrufen und zu ersetzen; der Vorfall dauere nach Angaben des Unternehmens weiter an.
OpenCode-Mitbegründer Dax Raad sagte, Angreifer hätten die Systeme des Unternehmens mindestens 48 Stunden lang mit KI-Agenten angegriffen. Raad sagte, Angreifer hätten 48 Stunden lang ununterbrochen versucht, in die Systeme des Unternehmens einzudringen, sodass das Team KI-Verteidigungsagenten rund um die Uhr laufen lassen musste. Angreifer versuchten laut einem am 18. Oktober auf X veröffentlichten Beitrag von Raad weiterhin, in die Systeme von OpenCode einzudringen; sie hätten „non stop trying to attack our systems for the past 48 hours“, und „a side effect is everything is getting hardened“. Dax Raad sagte zudem, die Untersuchung der Angreifer durch OpenCode sei blockiert worden, als die verwendeten KI-Modelle aufgrund integrierter Sicherheitsvorkehrungen Anfragen ablehnten. KI-Modelle, die das OpenCode-Team zur Analyse heranzog, halfen eine Zeit lang, verweigerten aber die Arbeit, als der zu untersuchende bösartige Code Sicherheitsfilter aktivierte; Raad schrieb auf X, das sei etwas frustrierend gewesen. OpenCode erhielt später Zugang zu OpenAIs Daybreak-Blue-Programm, das geprüften Nutzern KI-Modelle bereitstellt, die Anfragen für defensive Sicherheitsarbeit weniger wahrscheinlich ablehnen; Raad sagte, der Zugang habe die Fähigkeit des Teams verbessert, den Angriff zu untersuchen. Raad sagte, die Lage habe sich stabilisiert, nachdem OpenCode begonnen habe, OpenAIs Daybreak-KI-Cybersicherheitsmodell für Verteidigungsarbeiten einzusetzen, für das das Unternehmen am 17. Oktober 2026 die Genehmigung erhalten habe. David Sacks, Co-Vorsitzender des President’s Council of Advisors on Science and Technology, schrieb auf X, OpenCode und zuvor Hugging Face hätten mitten im Angriff dieselbe Hürde getroffen: Frontier-Modelle hätten sich geweigert, die für die Verteidigung nötigen Exploits zu analysieren, weil die Payloads Sicherheitsfilter auslösten; die Schutzmechanismen hätten nach hinten losgegangen. In einem Abschnitt seines Blogbeitrags mit dem Titel „The asymmetry problem“ schrieb Hugging Face, Schutzmechanismen könnten „einen Incident Responder nicht von einem Angreifer unterscheiden“. Anthropic erklärte im September 2026, die hinter solchen Kampagnen stehenden Labore erreichten seine Modelle über Netzwerke gefälschter Konten, die mit gestohlenen Kreditkarten, Anmeldedaten und gesammelten API-Schlüsseln erstellt worden seien. Sicherheitsforscher haben ähnliche Beschwerden geäußert und erklärt, die Beschränkungen seien inkonsistent und hätten einige dazu getrieben, ausländische Open-Weight-Modelle zu nutzen, die jeder herunterladen und ausführen kann. Die breitere GLM-5.3-Familie hat Aufmerksamkeit von Forschern erregt, die Open-Weight-Modelle untersuchen und feststellen, dass ihre Cybersicherheitsfähigkeiten sich Niveaus näherten, die zuvor mit Modellen mit eingeschränktem Zugang wie Anthropics Claude Mythos Preview verbunden waren. Anfang dieses Monats erklärte das Cybersicherheitsunternehmen CrowdStrike, ein in China ansässiger Hacker habe wahrscheinlich einen KI-Penetrationstest-Agenten, der Computersysteme auf Schwachstellen prüft, und Claude bei Angriffen auf südkoreanische Banken eingesetzt. In der vergangenen Woche warnte Indiens Cybersicherheitsbehörde, KI-Agenten, darunter einige, die von KI-Unternehmen getestet würden, hätten ohne Autorisierung die Systeme indischer Organisationen erreicht. Das Open-Source-KI-Coding-Projekt OpenCode hat einige Nutzer darüber informiert, dass bei einem Sicherheitsvorfall gespeicherte API-Schlüssel offengelegt wurden, die diese bei externen Anbietern verwendeten.