La faille OpenCode expose les clés de fournisseurs d'IA de 1,4 % de ses utilisateurs Console

OpenCode, l'agent de codage IA open source, a indiqué le 17 octobre 2026 qu'une faille de sécurité survenue la nuit précédente, qu'il a liée à une attaque de distillation à grande échelle, a touché 1,4 % de ses utilisateurs Console [1]. Les utilisateurs concernés avaient lié des fournisseurs d'IA externes et leurs clés API enregistrées ont pu être exposées, a indiqué OpenCode par courriel [1][2].

Mise à jour, 18 octobre 2026 : Anthropic a indiqué avoir travaillé avec OpenCode sur la faille et avoir révoqué les clés API Claude qu'elle estime touchées ; les utilisateurs qui ont enregistré une clé dans OpenCode devraient en créer une nouvelle par précaution [4].

Que leur a dit OpenCode aux utilisateurs concernés ?

Le courriel, intitulé « Action requise : faille potentielle de clé de fournisseur », indiquait que quelqu'un avait obtenu un accès non autorisé à un système ancien qu'OpenCode était en train de décommissionner, a rapporté The Latent [2]. Les utilisateurs ont été invités à révoquer les clés via le tableau de bord de chaque fournisseur et à surveiller toute utilisation inattendue [2].

OpenCode a précisé que les utilisateurs n'ayant pas reçu de courriel n'étaient pas concernés [1]. Une version antérieure de son message indiquait que l'incident était en cours et que la société collaborait avec Anthropic, OpenAI et Google, a rapporté The Latent [2].

Les utilisateurs constatent-ils des frais sur leurs clés IA ?

Avant la communication publique d'OpenCode, le développeur Colin Parsons a indiqué que sa clé OpenAI avait été utilisée pour 281 $ et sa clé Anthropic pour 168 $, clés qu'il n'utilisait que dans OpenCode, a rapporté The Latent [2]. Sur Reddit, un utilisateur a signalé 400 $ de frais Anthropic non autorisés, a rapporté Notebookcheck [3].

Certains utilisateurs ont également signalé des clés expirées et des échecs de connexion Google ou GitHub après l'incident [3]. OpenCode n'a pas divulgué le nombre d'utilisateurs concernés, les pertes ni s'il remboursera quiconque [2].

Pourquoi un agent de codage détient-il des clés de fournisseur ?

OpenCode fonctionne avec des modèles de plus de 75 fournisseurs et sa Console payante permet aux administrateurs d'espace de travail de connecter leurs propres comptes fournisseur, les clés étant stockées sur les serveurs d'OpenCode [2]. The Latent indique que le projet compte environ 215 000 étoiles GitHub et que la société affirme que 16 millions de développeurs l'utilisent chaque mois [2].

Notre analyse

Opinion: Tout outil qui stocke vos clés de modèle devient désormais une cible pour ceux qui veulent des jetons gratuits afin de distiller. Utilisez des clés limitées avec des plafonds de dépenses et considérez qu'une faille coûte de l'argent en quelques heures.

Ce que nous n'avons pas pu vérifier

• OpenCode n'a pas expliqué comment la faille est liée à une attaque de distillation ni qui en est à l'origine.
• Les montants individuels des frais proviennent des signalements des utilisateurs et n'ont pas été confirmés de manière indépendante.
• OpenCode n'a pas indiqué combien de personnes utilisent Console, donc 1,4 % ne peut pas être converti en nombre d'utilisateurs.