Anomaly Innovations, la société derrière l'agent de codage open source OpenCode, a confirmé une fuite de données ayant exposé les clés API stockées d'OpenAI, d'Anthropic et de Google pour environ 1,4 % des utilisateurs d'OpenCode Console. L'entreprise a envoyé un courriel aux comptes concernés le 17 octobre, les avertissant que les clés enregistrées dans leurs espaces de travail pouvaient avoir fuité, et les appelant à les révoquer et à en émettre de nouvelles immédiatement.
OpenCode n'est pas un simple chatbot : c'est un agent de codage en terminal qui fonctionne avec les identifiants propres du développeur, lit des fichiers, appelle des API externes et exécute des commandes. Ce sont donc ces clés de fournisseurs, liées aux comptes, qui font tourner l'outil, et une fuite atteignant l'endroit où elles sont stockées frappe directement les développeurs.
Ce qu'a déclaré Anomaly Innovations sur la fuite d'OpenCode
Dans une courte publication sur son compte officiel, Anomaly Innovations a indiqué que l'incident était "lié à une attaque de distillation à grande échelle" et qu'il ne concernait qu'une partie des utilisateurs ayant associé des fournisseurs externes à leurs comptes. Des informations ultérieures, citant la notification de l'entreprise, évoquent un "accès non autorisé à un système hérité" et précisent que les clés de fournisseurs tiers enregistrées dans les espaces de travail concernés pouvaient avoir été exposées.
La société affirme avoir prévenu par courriel chaque compte touché le matin même et travailler avec Anthropic, OpenAI et Google pour remédier à l'incident. Elle ajoute qu'elle ne peut pas confirmer si les clés exposées ont servi à des fins malveillantes, que son enquête « à ce jour » n'a révélé aucun indice de fuite d'autres données, et qu'elle ne peut pas communiquer davantage de détails tant que l'incident est en cours.
