Ringkasan:
OpenCode menyatakan bahwa kebocoran tersebut berdampak pada sekitar 1,4% pengguna Console yang menautkan penyedia eksternal.
Kredensial yang terekspos dapat mencakup kunci API untuk OpenAI, Anthropic, dan Google.
Perusahaan mengidentifikasi serangan distilasi berskala besar, tetapi belum mengungkapkan detail teknis secara lengkap.
Pengguna yang terdampak sebaiknya mencabut kunci, mengganti kredensial, memperbarui aplikasi, dan meninjau penggunaan API terbaru.
OpenCode mengungkapkan adanya insiden keamanan yang mengekspos kunci API pihak ketiga milik sekitar 1,4% pengguna Console-nya. Insiden tersebut melibatkan akses tanpa izin ke sistem lama yang sedang dipersiapkan perusahaan untuk dinonaktifkan.
Kredensial yang terekspos mungkin mencakup kunci untuk OpenAI, Anthropic, dan Google, menurut pemberitahuan OpenCode kepada pelanggan. Perusahaan mengatakan para penyerang melancarkan serangan distilasi berskala besar, meskipun belum merilis detail teknis lebih lanjut.
Pengguna yang terdampak diminta untuk mencabut kunci mereka, menggantinya, serta memeriksa penggunaan dan tagihan yang tidak terduga.
Pengungkapan ini menimbulkan kekhawatiran tentang keamanan kredensial di berbagai alat pengembangan AI. Pengguna yang menghubungkan penyedia eksternal melalui platform pihak ketiga mungkin menghadapi risiko finansial jika penyerang mendapatkan kredensial mereka.
Bagaimana Kebocoran Keamanan OpenCode Mengekspos Kunci API
OpenCode mengumumkan insiden tersebut di X dan mengonfirmasi bahwa akses tanpa izin berdampak pada sebagian pengguna Console yang telah menautkan penyedia eksternal. Perusahaan mengatakan telah memberi tahu semua pengguna terdampak yang teridentifikasi melalui email pada pagi hari setelah kebocoran tersebut.
Pemberitahuan kepada pelanggan menyebut sistem lama sebagai titik masuk. OpenCode sedang bersiap untuk menonaktifkan sistem tersebut ketika akses tanpa izin terjadi. Kunci penyedia pihak ketiga yang tersimpan di ruang kerja pengguna mungkin telah terekspos.
Tadi malam kami mengalami pelanggaran keamanan terkait serangan distilasi berskala besar yang berdampak pada 1.4% pengguna OpenCode Console
Kami telah memberi tahu mereka semua pagi ini melalui email. Jika Anda tidak menerima email, berarti Anda tidak terdampak; yang terdampak hanya sebagian pengguna yang memiliki penyedia eksternal…
— OpenCode (@opencode) October 17, 2026
Perusahaan bekerja sama dengan OpenAI, Anthropic, dan Google untuk menangani insiden tersebut. Namun, OpenCode mengatakan penyelidikan masih berlangsung dan menolak membagikan detail tambahan.
Komentator keamanan Matt Johansen juga melaporkan kekhawatiran pelanggan tentang kunci yang dicuri dan tagihan API yang tidak terduga. Diskusi komunitas menyebutkan bahwa pengguna menerima pemberitahuan kebocoran dan imbauan untuk mencabut kredensial mereka.
OpenCode belum mengungkapkan jumlah total akun yang terdampak atau mengonfirmasi cakupan penuh akses para penyerang. Angka 1.4% menunjukkan proporsi pengguna Console yang terdampak, bukan persentase kunci yang terekspos atau penyedia yang disusupi.
Makna Serangan Distilasi OpenCode bagi Keamanan API
Serangan distilasi melibatkan kueri ekstensif ke model AI untuk mengumpulkan keluaran yang dapat membantu melatih model lain. Pengembang dapat menggunakan respons tersebut untuk meniru aspek-aspek perilaku model yang lebih canggih.
Dalam insiden ini, OpenCode mengidentifikasi adanya serangan distilasi berskala besar, tetapi belum menjelaskan model mana yang menjadi sasaran para penyerang. OpenCode juga belum mengungkapkan volume kueri, durasi aktivitas tersebut, atau identitas pihak yang bertanggung jawab.
Terverifikasi. OpenCode diretas. Kunci dicuri.
Pelanggan diminta untuk mencabutnya. https://t.co/rQz6G9reGG pic.twitter.com/onOyjWevr0
— Matt Johansen (@mattjay) October 17, 2026
Kunci API yang dicuri dapat memungkinkan penyerang mengirim permintaan menggunakan akun penyedia milik korban. Bergantung pada skema penagihan dan izin akun penyedia, permintaan tanpa izin dapat menimbulkan biaya yang harus ditanggung pemilik kunci.
Hal ini menimbulkan risiko finansial langsung bagi pengembang dan bisnis yang menyimpan kredensial penyedia di aplikasi eksternal. Kunci yang disusupi mungkin tetap dapat digunakan sampai pemiliknya mencabut kunci tersebut atau penyedia menonaktifkan akses dengan cara lain.
OpenCode meminta pelanggan yang terdampak untuk mencabut dan mengganti kunci yang terekspos melalui dasbor penyedia mereka. Pengguna juga harus memperbarui aplikasi yang bergantung pada kredensial tersebut dan meninjau penggunaan terbaru untuk mendeteksi aktivitas mencurigakan.
Mengganti kunci dengan cepat dapat mencegah permintaan tanpa izin lebih lanjut menggunakan kredensial yang telah disusupi. Batas pengeluaran dan peringatan penggunaan dapat membantu mengurangi potensi kerugian, sementara penyimpanan kredensial yang aman dapat membatasi paparan.
Insiden ini menyoroti risiko menautkan layanan AI eksternal ke platform pengembangan. Hingga OpenCode memberikan temuan lebih lanjut, pengguna yang terdampak sebaiknya menganggap kredensial yang mungkin terekspos telah disusupi dan memverifikasi penggunaan layanan penyedia mereka.
Artikel OpenCode Security Breach Exposes API Keys of 1.4% of Console Users pertama kali diterbitkan di Blockonomi.