OpenCode, l'agent de codage IA open source devenu une alternative prisée à Claude Code et Cursor, a annoncé samedi que des attaquants s'étaient introduits dans une partie ancienne de sa plateforme en ligne durant la nuit. Selon l'entreprise, la brèche a touché 1,4 % des utilisateurs d'OpenCode Console, la plateforme web où certains utilisateurs stockent les clés API qui leur servent à accéder aux services d'IA. Tous les utilisateurs concernés ont été prévenus par e-mail samedi matin, et OpenCode affirme que ceux qui n'ont pas reçu de message n'ont pas été affectés.
L'incident est important car les clés dérobées ne posaient pas qu'un problème de confidentialité. Des développeurs ont commencé à publier des alertes de dépenses et des frais non autorisés sur Reddit et X, certains signalant des centaines de dollars et quelques-uns des montants supérieurs à 1 000 dollars. OpenCode indique que les remboursements des frais non autorisés sont en cours.
Ce qui a été exposé dans la brèche d'OpenCode Console
Selon le cofondateur Dax Raad, les clés exposées se limitaient à Console, où certains utilisateurs les avaient stockées dans des espaces de travail. Il a écrit sur X que l'application open source et l'outil en ligne de commande n'avaient pas été touchés, précisant que ces clés ne parviennent jamais à l'entreprise.
OpenCode a demandé aux utilisateurs concernés de révoquer leurs clés et de les remplacer directement auprès de chaque fournisseur d'IA. L'entreprise n'a pas détaillé comment les attaquants ont accédé à l'ancien système, ni comment les clés étaient stockées, ni l'ampleur exacte d'une éventuelle utilisation abusive, et elle indique que l'incident est toujours en cours.
- Les attaquants se sont introduits dans un ancien système d'OpenCode Console durant la nuit.
- 1,4 % des utilisateurs d'OpenCode Console ont été touchés et prévenus par e-mail.
