Narušenie OpenCode Console mohlo odhaliť API kľúče externých AI služieb
Bezpečnostný incident v hostovanej službe OpenCode Console zasiahol podľa oznámenia 1,4 % jej používateľov. Dotknutí mali odvolať a nahradiť kľúče externých AI poskytovateľov.
Narušenie OpenCode Console mohlo zasiahnuť API kľúče používateľov, ktorí si k hostovanej službe pripojili externých poskytovateľov AI modelov. OpenCode incident spojil s rozsiahlym pokusom o distiláciu modelov a uviedol, že sa týkal 1,4 % používateľov služby Console.
Podľa oznámenia, ktoré citoval TechCrunch, spoločnosť dotknutých používateľov kontaktovala e-mailom. Odporučila im odvolať existujúce kľúče priamo u príslušných poskytovateľov a vytvoriť nové. Samotné odstránenie kľúča z prostredia Console na tento účel nestačí.
Narušenie OpenCode Console sa netýka lokálneho klienta
Incident sa podľa dostupných informácií týka používateľov hostovanej OpenCode Console s pripojenými externými poskytovateľmi. Nevzťahuje sa na samotného lokálne používaného open-source klienta OpenCode.
Dokumentácia služby potvrdzuje, že Console podporuje pripojenie poskytovateľov a spravuje konfiguráciu pracovných priestorov. Práve v takomto prostredí môžu používatelia pracovať s vlastnými prístupovými kľúčmi k AI službám.
Pri API kľúčoch naviazaných na platené účty predstavuje ich možná expozícia nielen riziko neoprávneného prístupu k modelom, ale aj vznik nákladov za cudzie využitie rozhraní. Jednotlivé správy o neoprávnených poplatkoch však zatiaľ samy osebe nepotvrdzujú celkovú finančnú škodu.
Čo majú dotknutí používatelia urobiť
Používatelia OpenCode Console, ktorí v službe mali uložené kľúče externých AI poskytovateľov, by mali skontrolovať e-mailové upozornenia od OpenCode a podniknúť kroky priamo v účtoch daných služieb:
- odvolať pôvodné API kľúče u príslušného poskytovateľa,
- vytvoriť a nasadiť nové kľúče, ak ich ďalej potrebujú,
- preveriť používanie a poplatky vo svojich účtoch AI služieb.
OpenCode podľa citovaného oznámenia upozornil dotknutých používateľov e-mailom. Zverejnené fakty však neuvádzajú, či boli všetky potenciálne exponované kľúče automaticky zablokované alebo odvolané.
Technické okolnosti zatiaľ chýbajú
OpenCode verejne nepopísal vstupný bod útočníka, spôsob uloženia kľúčov ani počet potenciálne zasiahnutých kľúčov. Neznámy zostáva aj úplný rozsah ich prípadného zneužitia.
Spoločnosť pripisuje incident rozsiahlemu pokusu o distiláciu modelov. Nezávislé technické dôkazy, ktoré by potvrdzovali použitie odcudzených kľúčov na konkrétnu distiláciu, zatiaľ zverejnené neboli.
Stavová stránka OpenCode 20. októbra naďalej uvádzala degradované služby Console a inference služieb. Neposkytovala však samostatný technický ani forenzný rozbor narušenia.
Čo sledovať ďalej
Pre ďalšie posúdenie incidentu bude dôležité technické vysvetlenie od OpenCode vrátane príčiny a presnejšieho rozsahu. Očakávajú sa aj prípadné vyjadrenia poskytovateľov AI služieb, ako sú OpenAI, Anthropic a Google, k blokovaniu kľúčov, zneužitiu a refundáciám. Zatiaľ nie sú potvrdené údaje o počte zasiahnutých účtov ani o celkovej finančnej škode.
Zdroje
- TechCrunch – Cituje oznámenie OpenCode o incidente, rozsahu 1,4 % používateľov Console, upozornení e-mailom a potrebe odvolať externé kľúče.
- OpenCode Console Providers documentation – Potvrdzuje, že OpenCode Console pracuje s pripojenými poskytovateľmi v konfigurácii pracovného priestoru.
- OpenCode Status – Ukazuje aktuálny prevádzkový stav Console a inference služieb; neposkytuje príčinu ani forenzné detaily narušenia.
Overené a aktualizované: 20. 10. 2026 06:26
