Ein Angreifer hat in der Nacht zum 16. Oktober auf ein älteres System von OpenCode zugegriffen. Dabei könnten Schlüssel externer KI-Anbieter offengelegt worden sein, die Nutzer in die OpenCode Console eingetragen hatten, laut der Berichterstattung von The Hacker News über die Aussagen des Unternehmens.
OpenCode zufolge war von der möglichen Offenlegung 1,4 % der Console-Nutzer betroffen, und alle hatten einen externen Anbieter angebunden. Der Prozentwert lässt aber nicht erkennen, wie viele Nutzer oder API-Schlüssel betroffen sind.
Die Formulierung des Unternehmens bleibt vorsichtig: Die Schlüssel „könnten offengelegt worden sein“. OpenCode hat nicht erklärt, dass Zugangsdaten kopiert oder anschließend genutzt wurden.
OpenCode benachrichtigte betroffene Console-Nutzer am 17. Oktober
Am Morgen des 17. Oktober verschickte OpenCode E-Mails mit dem Betreff „Action Required: Potential provider key breach“ an die Nutzer, die als betroffen galten. Im Laufe des Tages erklärte das Unternehmen auf X, der Vorfall dauere noch an, und man arbeite mit Anthropic, OpenAI und Google zusammen.
OpenCode teilte den Nutzern außerdem mit, dass alle, die keine E-Mail erhalten haben, nicht betroffen seien. Den Einbruch führte das Unternehmen auf einen, wie es es nannte, „groß angelegten Destillationsangriff“ zurück. Einen Akteur nannte es jedoch nicht, und es erklärte auch nicht, wie diese Aktivität zum Einbruch in das ältere System führte.
Am 18. Oktober schrieb Mitgründer Dax Raad, Angreifer hätten die Systeme von OpenCode in den vorangegangenen 48 Stunden „non stop“ angegriffen. Diese Aussage belegt aber nicht, wann der unbefugte Zugriff auf das betroffene System begann.
Raad beschrieb den Vorfall so, dass er „die OpenCode Console betrifft, nicht OpenCode selbst“. Praktisch beschränkt sich die gemeldete Offenlegung damit auf Anbieterschlüssel, die in die Console eingegeben wurden.
Laut Raad werden Schlüssel, die über die Kommandozeilen- und Desktop-Anwendungen von OpenCode hinzugefügt werden, lokal in einer SQLite-Datenbank auf dem Rechner des Nutzers gespeichert und „gelangen nie zu uns“. Diese lokal gespeicherten Zugangsdaten fallen daher nicht in den Umfang, den das Unternehmen beschreibt.
Warum ein möglicherweise offengelegter Anbieterschlüssel ersetzt werden muss
API-Schlüssel von OpenAI, Anthropic und Google funktionieren als Bearer-Zugangsdaten. Wer einen gültigen Schlüssel besitzt, kann möglicherweise so lange Anfragen stellen, die dem Inhaber in Rechnung gestellt werden, bis der Anbieter ihn widerruft.
Das Löschen eines Schlüssels in der OpenCode Console reicht nicht aus, weil die Entfernung aus der Console den Zugangsdaten beim Anbieter nicht ungültig macht. Ebenso kann ein in der Console festgelegtes Budget keine Anfragen begrenzen, die direkt mit dem Schlüssel gestellt werden, denn OpenCode kann nur den Datenverkehr über das eigene Gateway erfassen.
Nutzer, die von OpenCode benachrichtigt wurden, sollten:
- den betroffenen Schlüssel im Dashboard des jeweiligen Anbieters widerrufen und einen neuen erzeugen,
- den alten Zugang in jeder Anwendung, jedem Skript und jedem Dienst ersetzen, der ihn verwendet hat,
- die Nutzungs- und Abrechnungsdaten des Anbieters auf unbekannte Anfragen prüfen, und zwar mindestens bis zum 16. Oktober zurück,
- sofern verfügbar, beim Anbieter Ausgabenlimits oder Abrechnungswarnungen einrichten,
- für jedes Tool einen eigenen API-Schlüssel verwenden, damit nach einer Offenlegung weniger Systeme aktualisiert werden müssen.
Der Widerruf ist der entscheidende Schritt. Ein Schlüsselwechsel ohne Aktualisierung der abhängigen Anwendungen kann auch legitime Arbeitsabläufe unterbrechen. Nutzer sollten daher jede Stelle ermitteln, an der der alte Zugang hinterlegt war.
Nutzer berichten von unautorisierter KI-Nutzung, die Ursache ist aber unbestätigt
Mehrere Nutzer haben unabhängig voneinander unerwartete Abbuchungen bei ihren Anbieterkonten gemeldet. Dealroom berichtete, Colin Parsons führe 281 US-Dollar an unautorisierter OpenAI-Nutzung und 168 US-Dollar an Anthropic-Nutzung auf sein Konto zurück. Außerdem zitierte das Portal Preston Zeller mit der Angabe, er habe Verluste von 1.700 US-Dollar erlitten.
Notebookcheck nannte Angaben zweier nicht namentlich genannter Reddit-Nutzer: Einer beschrieb 400 US-Dollar an unautorisierter Anthropic-Nutzung, ein anderer nannte rund 200 Euro an Google-Nutzung, bevor das Projekt gesperrt wurde.
Dabei handelt es sich um von Nutzern gemeldete Beträge. OpenCode hat nur erklärt, die Schlüssel „könnten offengelegt worden sein“, und nicht, dass Schlüssel kopiert oder genutzt wurden. Die Berichte belegen daher nicht, dass offengelegte Schlüssel kopiert oder missbraucht wurden.
Die eigene Darstellung von OpenCode stützt eine sofortige Rotation der Zugangsdaten, weil eine Offenlegung möglich ist. Sie geht aber nicht so weit, Diebstahl oder Missbrauch zu bestätigen. Für betroffene Nutzer sind der Widerruf beim Anbieter, der Austausch der Zugangsdaten und die Prüfung der Abrechnung die Maßnahmen, die dieses Risiko unmittelbar eindämmen.
