OpenCode: Sicherheitsvorfall
Sicherheitsvorfall legt über Altsystem API-Keys von Drittanbietern offen.

Der Anbieter des quelloffenen KI-Coding-Tools OpenCode bestätigte am 17. Oktober 2026 einen Sicherheitsvorfall, der in der Nacht zuvor stattfand. Unbefugte griffen auf ein Altsystem der OpenCode Console zu, das das Unternehmen gerade außer Betrieb nehmen wollte. Betroffen sind 1,4 Prozent der Console-Nutzer, die externe Anbieter angebunden hatten. In deren Workspaces gespeicherte API-Schlüssel von Drittanbietern, etwa von OpenAI, Anthropic und Google, könnten offengelegt worden sein.

OpenCode bringt den Vorfall mit einem groß angelegten Distillation-Angriff in Verbindung. Dabei werden Antworten leistungsfähiger KI-Modelle massenhaft abgegriffen, um damit eigene Modelle zu trainieren. Wie die Angreifer ins System gelangten, wie lange sie dort blieben und wie viele Schlüssel betroffen sind, teilte das Unternehmen nicht mit. Auch einen Täter nannte es nicht. Laut OpenCode war der Vorfall bei der Veröffentlichung der Mitteilung noch nicht abgeschlossen.

Nach Berichten Betroffener fielen über Nacht erhebliche Fremdkosten an: mehr als 400 US-Dollar bei Anthropic, über 1.000 US-Dollar bei Google Cloud und in einem Fall über 1.700 US-Dollar. Guthaben waren aufgebraucht, teils löste dies automatische Aufladungen aus. Diese Angaben stammen aus einem nicht bestätigten Medienbericht. Anthropic erklärte, es habe mutmaßlich betroffene Claude-API-Schlüssel widerrufen.

OpenCode informierte die Betroffenen per E-Mail und arbeitet mit Anthropic, OpenAI und Google zusammen. Nutzer sollen Schlüssel direkt beim jeweiligen Anbieter widerrufen und ersetzen, Anwendungen aktualisieren sowie Nutzung und Abrechnungen prüfen. Ein Löschen des Schlüssels in OpenCode allein genügt nicht.