En bref :

• OpenCode indique que la faille a touché environ 1,4 % des utilisateurs de la Console ayant associé des fournisseurs externes.

• Les identifiants exposés peuvent inclure des clés API d’OpenAI, d’Anthropic et de Google.

• L’entreprise a identifié une attaque de distillation à grande échelle, mais n’a pas divulgué tous les détails techniques.

• Les utilisateurs concernés doivent révoquer leurs clés, remplacer leurs identifiants, mettre à jour leurs applications et vérifier leur activité API récente.

OpenCode a signalé une faille de sécurité qui a exposé des clés API tierces appartenant à environ 1,4 % des utilisateurs de sa Console. L’incident impliquait un accès non autorisé à un ancien système que l’entreprise s’apprêtait à mettre hors service.

Selon la notification envoyée aux clients d’OpenCode, les identifiants exposés pourraient avoir inclus des clés pour OpenAI, Anthropic et Google. L’entreprise a indiqué que les attaquants avaient mené une attaque par distillation à grande échelle, sans toutefois communiquer davantage de détails techniques.

Il a été demandé aux utilisateurs concernés de révoquer leurs clés, de les remplacer et de vérifier s’il y avait eu des utilisations ou des frais inattendus.

Cette divulgation soulève des inquiétudes quant à la sécurité des identifiants dans les outils de développement de l’IA. Les utilisateurs qui connectent des fournisseurs externes par l’intermédiaire de plateformes tierces peuvent s’exposer à des risques financiers si des attaquants obtiennent leurs identifiants.

Comment la faille de sécurité d’OpenCode a exposé des clés API

OpenCode a annoncé l’incident sur X, confirmant qu’un accès non autorisé avait touché une partie des utilisateurs de Console ayant associé des fournisseurs externes. L’entreprise a indiqué avoir informé par e-mail tous les utilisateurs concernés identifiés, le matin suivant la faille.

L’avis aux clients désignait un système hérité comme point d’entrée. OpenCode s’apprêtait à mettre ce système hors service lorsque l’accès non autorisé a eu lieu. Les clés de fournisseurs tiers stockées dans les espaces de travail des utilisateurs pourraient avoir été exposées.

Nous avons subi une faille de sécurité la nuit dernière, liée à une attaque par distillation à grande échelle qui a touché 1.4% des utilisateurs d’OpenCode Console

Nous les avons tous informés ce matin par e-mail. Si vous n’avez pas reçu d’e-mail, vous n’avez pas été touché ; seule une partie des utilisateurs était concernée, ceux qui avaient associé des fournisseurs externes…

— OpenCode (@opencode) 17 octobre 2026

L’entreprise collabore avec OpenAI, Anthropic et Google pour gérer l’incident. OpenCode a toutefois indiqué que l’enquête était toujours en cours et a refusé de communiquer des détails supplémentaires.

Le commentateur spécialisé en sécurité Matt Johansen a également fait état des inquiétudes de clients concernant le vol de clés et des frais d’API inattendus. Dans les discussions de la communauté, des utilisateurs ont raconté avoir reçu des notifications de faille et des avertissements leur demandant de révoquer leurs identifiants.

OpenCode n’a pas révélé le nombre total de comptes concernés ni confirmé l’ampleur exacte de l’accès des attaquants. Le chiffre de 1.4% correspond à la part des utilisateurs de Console touchés, et non au pourcentage de clés exposées ou de fournisseurs compromis.

Ce que signifie l’attaque par distillation d’OpenCode pour la sécurité des API

Une attaque par distillation consiste à interroger abondamment un modèle d’IA afin de collecter des réponses susceptibles de contribuer à l’entraînement d’un autre modèle. Les développeurs peuvent utiliser ces réponses pour reproduire certains aspects du comportement d’un modèle plus performant.

Dans cet incident, OpenCode a identifié une attaque par distillation à grande échelle, mais n’a pas précisé quels modèles les attaquants avaient ciblés. L’entreprise n’a pas non plus révélé le volume de requêtes, la durée de l’activité ni l’identité des responsables.

Confirmé. OpenCode a été piraté. Des clés ont été volées.

Les clients sont invités à révoquer leurs clés. https://t.co/rQz6G9reGG pic.twitter.com/onOyjWevr0

— Matt Johansen (@mattjay) 17 octobre 2026

Des clés API volées peuvent permettre aux attaquants d’effectuer des requêtes au moyen du compte d’un fournisseur appartenant à une victime. Selon les modalités de facturation du fournisseur et les autorisations du compte, les requêtes non autorisées peuvent générer des frais à la charge du propriétaire de la clé.

Cela représente un risque financier direct pour les développeurs et les entreprises qui stockent des identifiants de fournisseurs dans des applications externes. Une clé compromise peut rester utilisable jusqu’à ce que son propriétaire la révoque ou que le fournisseur désactive l’accès d’une autre manière.

OpenCode a demandé aux clients concernés de révoquer les clés exposées et de les remplacer depuis les tableaux de bord de leurs fournisseurs. Les utilisateurs doivent également mettre à jour les applications qui dépendent de ces identifiants et examiner l’activité récente afin de repérer toute activité suspecte.

Changer rapidement les clés peut empêcher de nouvelles requêtes non autorisées effectuées à l’aide des identifiants compromis. Les plafonds de dépenses et les alertes d’utilisation peuvent aider à limiter les pertes potentielles, tandis qu’un stockage sécurisé des identifiants peut réduire les risques d’exposition.

Cet incident met en évidence les risques liés à l’association de services d’IA externes à des plateformes de développement. En attendant qu’OpenCode communique les résultats de son enquête, les utilisateurs concernés devraient considérer les identifiants potentiellement exposés comme compromis et vérifier leur utilisation auprès de leurs fournisseurs.

L’article La faille de sécurité d’OpenCode expose les clés API de 1.4% des utilisateurs de Console a été publié initialement sur Blockonomi.