OpenCode подтвердил взлом Console: могли утечь API-ключи

Подробно

Что произошло с OpenCode Console?

OpenCode - бесплатный ИИ-агент для программирования с открытым исходным кодом под лицензией MIT. Он работает в терминале, как настольное приложение и как расширение для IDE. Взломан был не открытый клиент, а облачный сервис OpenCode Console. Console хранит учётные данные подключённых провайдеров моделей (режим BYOK, «свой ключ») и подставляет их в запросы, которые идут через её шлюз.

Официальное заявление компании появилось 17 октября около 20:56 мск. Примерно через 12 минут его дополнили данными о доле пострадавших и о совместной работе с ИИ-лабораториями.

«Прошлой ночью у нас произошло нарушение безопасности, связанное с крупномасштабной атакой для дистилляции», - говорится в заявлении OpenCode.

«Инцидент продолжается, поэтому сейчас мы не можем поделиться подробностями», - добавили в компании.

О взломе узнали раньше, чем компания выступила публично. Уведомление пользователя, по реконструкции CellCog, появилось на Reddit уже около 17:14 мск. В 18:18 мск исследователь безопасности и основатель Vulnerable U Мэтт Йохансен (Matt Johansen) написал, что ему сообщают о расходах по чужим API-ключам. В 18:30 мск он добавил: «Подтверждено. OpenCode взломан. Ключи украдены. Клиентам говорят отзывать ключи».

Чьи API-ключи могли утечь и сколько пользователей пострадало?

По оценке самой OpenCode, затронуты 1,4% пользователей Console. Речь о тех, у кого в Console были подключены внешние провайдеры моделей. Сколько всего пользователей у Console, компания не раскрывает, поэтому перевести 1,4% в число аккаунтов или ключей нельзя. OpenCode сообщает, что открытым агентом пользуются более 16 млн разработчиков в месяц, а у репозитория больше 208 тыс. звёзд на GitHub. Это собственные данные компании, и к аудитории Console они отношения не имеют.

Утром 17 октября затронутым пользователям пришло письмо с темой «Action Required: Potential provider key breach» («Требуются действия: возможная утечка ключей провайдеров»). Его текст известен по копиям, которые выложили получатели. В письме говорится о несанкционированном доступе к устаревшей системе, которую компания уже выводила из эксплуатации.

«Ключи сторонних провайдеров, сохранённые в вашем рабочем пространстве, могли быть раскрыты», - говорится в письме команды OpenCode.

В качестве примеров в письме прямо названы OpenAI и Anthropic. Google в первом письме не упоминается. Однако OpenCode называет Google наряду с Anthropic и OpenAI среди участников устранения последствий, а пользователи отдельно жалуются на злоупотребление ключами Google. По словам компании, те, кто письма не получил, не пострадали.

Потом пришло второе письмо, но его оригинала в открытом доступе нет, а содержание известно только по пересказу пользователя. Судя по пересказу, в письме перечислялись затронутые записи: рабочее пространство, провайдер и последние символы ключа. Самым ранним возможным моментом раскрытия там названо 17 октября, 03:30 мск. Это время пока предварительное. Там же OpenCode пишет, что не может подтвердить, использовали ли злоумышленники конкретные ключи, и добавляет: «Проведённый на данный момент анализ не выявил признаков утечки других данных».

Какие расходы пришли пользователям?

OpenCode оговаривается, что использование ключей не подтверждено. Тем не менее пользователи выкладывают сообщения о реальных списаниях:

• $100 на одном из ключей;
• около $158 баланса Anthropic: по словам пользователя Reddit, его ключ ни разу не использовался, но с него отправляли запросы к модели Opus, и баланс закончился ещё до прихода уведомления;
• $400 несанкционированных расходов в аккаунте Anthropic;
• около €200 по Google;
• более $1000 по Google Cloud.

Всё это отдельные заявления пользователей. Их личности и платёжные документы никто независимо не проверял, а общая сумма ущерба не подтверждена. Встречаются упоминания о $90 000 и $1700, но подтверждений им нет. Единых правил компенсации OpenCode не публиковала. Пользователи пишут, что обсуждают возвраты с провайдерами.

По документации Console, BYOK-трафик оплачивается провайдеру напрямую, а не OpenCode. Значит, все списания злоумышленника ложатся на счета владельцев ключей. Сама Console бесплатна и не берёт плату за рабочие места. Платные подписки OpenCode Go ($10 в месяц) и Go Plus ($40 в месяц) дают доступ к моделям и к ущербу от инцидента отношения не имеют.

Как взлом связан с атакой для дистилляции?

Дистилляцией называют обучение собственной модели на ответах чужой, более мощной модели. OpenCode назвала взлом связанным с «крупномасштабной атакой для дистилляции», но как именно - не объяснила. Судя по имеющимся данным, дистилляция могла быть целью, ради которой использовали похищенные ключи, а не способом их кражи.

Основатель и CEO CellCog Нитиш Гарг (Nitish Garg) считает такую связку вероятной, хотя OpenCode её не подтверждала. По его мнению, действующий оплачиваемый ключ настоящего клиента проходит антифрод-системы легче, чем сеть фальшивых аккаунтов, и поэтому удобен для массовой дистилляции. Сооснователь OpenCode Дакс Рад (Dax Raad) прокомментировал случившееся так: «Совершенно новый мир со взломами на базе ИИ».

За несколько дней до инцидента, 12 октября, Anthropic рассказала, что усилила защиту от дистилляции. По данным компании, новые классификаторы сократили объём извлекаемых токенов рассуждений в 10-100 раз и привели к блокировке десятков тысяч аккаунтов. Anthropic тогда же признала, что сложной и настойчивой попытки обойти эти меры ещё не видела. Это внутренние данные компании, а не независимая проверка.

Что делать, если ключ хранился в OpenCode Console?

OpenCode просит получателей письма отозвать и заменить ключи в панелях провайдеров, обновить приложения, которые эти ключи используют, и проверить недавние расходы на незнакомую активность. Отзывать ключ нужно именно у провайдера: если удалить запись в OpenCode, уже скопированный ключ продолжит работать.

Исследователи Cyera Адам Очайон (Adam Ochayon) и Юваль Йогев (Yuval Yogev) напоминают, что дело не только в деньгах. В зависимости от прав ключ может открывать доступ к загруженным файлам, сохранённым ответам и дообученным моделям. Они советуют проверить все приложения, где использовался ключ.

Утечка ключей, которые хранились только локально, в файле auth.json или в переменных окружения, не подтверждена. Официальное заявление касается только пользователей Console с подключёнными внешними провайдерами.

Как отреагировали Anthropic, OpenAI и Google?

Сотрудница технической команды Anthropic Лидия Халли (Lydia Hallie) сообщила, что компания работала вместе с OpenCode.

«Мы отозвали Claude API-ключи, которые, по нашему мнению, были затронуты», - написала она.

Всем, кто когда-либо сохранял ключ в OpenCode, она посоветовала на всякий случай создать новый. Пользователь Крис Синко (Chris Sinco) рассказал, что у него сработали предупреждения OpenAI, Anthropic и Google, но «только Google пошёл дальше и приостановил проект из-за подозрительной активности».

К утру 18 октября публичных заявлений OpenAI и Google именно об этом инциденте найти не удалось. Подтверждения того, что OpenAI, Google или сама OpenCode отозвали все затронутые ключи, тоже нет. Некоторые пользователи пишут о принудительном сбросе ключей OpenCode и временных проблемах со входом, но массовую ротацию компания отдельно не подтверждала. На странице статуса OpenCode за 17 октября инцидента безопасности нет: там отмечены только кратковременные замедления Console API и сбои журналов запросов. Считать их следами атаки оснований нет.

Что пока неизвестно о взломе OpenCode?

OpenCode не раскрыла способ проникновения, уязвимость, конкретный компонент «устаревшей системы», сколько длился доступ и когда его обнаружили. Неизвестно, были ли ключи зашифрованы и как злоумышленники получили пригодные для использования значения. Атакующий не назван. Версии о причастности китайских лабораторий, включая DeepSeek, Moonshot, Zhipu и Xiaomi, а также об автономном ИИ ничем не подтверждены. Неизвестно и то, к каким моделям обращались с похищенными ключами и в каком объёме. Утечка исходного кода, промптов, истории сессий, платёжных реквизитов и персональных данных не подтверждена. Заявление OpenCode об отсутствии других утечек опирается на предварительный внутренний анализ.

Раньше у OpenCode уже находили уязвимости, но к нынешнему инциденту они, насколько известно, отношения не имеют. В январе 2026 года вышел критический бюллетень CVE-2026-22813: через XSS в локальном веб-интерфейсе можно было выполнять команды (уязвимы версии ниже 1.1.10). В сентябре нашли дефект высокой критичности GHSA-632h-h47v-g4x4: при определённой настройке opencode serve вредоносная страница могла установить произвольный npm-пакет (исправлено в версии 1.18.22). Обе уязвимости касались локального сервера, а не облачной Console.