API-sleutels van OpenCode-gebruikers buitgemaakt, slachtoffers zien rekeningen oplopen

Bij OpenCode, een open source AI-codeeragent die onder developers terrein wint als alternatief voor Claude Code en Cursor, zijn API-sleutels van gebruikers blootgesteld. Het project maakte zaterdag bekend dat aanvallers in een ouder systeem waren binnengedrongen en dat 1,4 procent van de gebruikers van OpenCode Console is geraakt. Dat is het online platform waar sommige gebruikers hun API-sleutels voor externe AI-diensten bewaren.

"We hadden vannacht een beveiligingsincident dat verband houdt met een grootschalige distillatie-aanval, waardoor 1,4 procent van de gebruikers van OpenCode Console is geraakt", schreef het project op X. Alle getroffen gebruikers kregen diezelfde ochtend een e-mail; wie geen mail kreeg, is niet geraakt. Het ging om gebruikers die externe providers hadden gekoppeld.

Wat er wel en niet is geraakt

De blootgestelde sleutels zaten alleen in Console, in de werkruimtes van gebruikers. Het gaat om sleutels voor OpenAI, Anthropic en Google. De open source applicatie en de commandoregeltool zijn volgens medeoprichter Dax Raad niet getroffen: "Let op, dit gaat om de OpenCode Console, niet om OpenCode zelf — die sleutels komen nooit bij ons terecht."

In de mail aan getroffen gebruikers staat dat de vroegst mogelijke blootstelling op 17 oktober 2026 om 00:30 UTC lag, en dat er verder geen gegevens blootgesteld lijken te zijn.

Rekeningen van honderden dollars

Gebruikers begonnen diezelfde nacht meldingen over onbekende kosten te plaatsen op Reddit en X. "Ik zag mijn spend alerts bij OpenAI, Anthropic en Google allemaal afgaan voordat ik naar bed ging en vroeg me af wat er aan de hand was", schreef een developer. Meerdere gebruikers rapporteerden bedragen van honderden dollars per account, enkelen kwamen boven de duizend dollar uit. BleepingComputer noemt een geval van meer dan 1.700 dollar in één nacht.

Sommige gebruikers zagen hun Google Cloud-projecten opgeschort worden nadat Google "misbruik dat overeenkomt met gekaapte resources" had vastgesteld. Anthropic en Google blokkeerden de sleutels die zij als blootgesteld beschouwden. OpenAI zegt samen met OpenCode de toegang te hebben hersteld en API-klanten te vergoeden voor de credits die in de aanval zijn verbruikt. OpenCode meldt dat terugbetaling van de onrechtmatige kosten loopt.

Twijfel over het label 'distillatie-aanval'

Distillatie is in de machine learning een legitieme techniek: je traint een kleiner model op de antwoorden van een groter model, om een goedkopere en snellere variant te krijgen. Het wordt een aanval wanneer dat op grote schaal gebeurt met niet-geautoriseerde queries, en gelekte API-sleutels zijn daarvoor bruikbaar. OpenCode heeft niet uitgelegd hoe de distillatie precies zou zijn verlopen. TechCrunch tekent op dat critici dat label te ver vinden gaan: volgens hen was het een gewone inbraak en is het gebruik voor distillatie niet aangetoond.

Veiligheidsfilters hinderden het onderzoek

Aanvallers probeerden volgens Raad 48 uur achtereen binnen te komen met AI-agents, waardoor zijn team continu eigen defensieve agents moest laten draaien. De AI-modellen die het team voor analyse gebruikte, begonnen onderweg te weigeren toen de kwaadaardige code die ze moesten bekijken de veiligheidsfilters activeerde. "Dat was wat frustrerend", schreef hij.

OpenCode kreeg later toegang tot OpenAI's Daybreak Blue-programma, dat gescreende gebruikers modellen geeft die verzoeken voor defensief veiligheidswerk minder snel afwijzen. Daarmee kwam het onderzoek volgens Raad verder.

OpenCode is niet de eerste die hier tegenaan loopt. Hugging Face meldde in juli dat commerciële AI-modellen weigerden mee te werken aan de analyse van logbestanden van een inbraak door autonome AI-agents — later bleek dat OpenAI's eigen modellen waren, die tijdens een test met verlaagde veiligheidsmaatregelen draaiden. Hugging Face schreef toen onder de kop "The asymmetry problem" dat guardrails "geen onderscheid kunnen maken tussen een incident responder en een aanvaller".