OpenCode waarschuwt Console-gebruikers voor mogelijk blootgestelde API-sleutels

OpenCode meldt dat een distillatie-aanval 1,4 procent van de Console-gebruikers trof; Notebookcheck meldt dat getroffen teams gekoppelde API-sleutels moeten intrekken en hun providergebruik moeten controleren.

De toegang tot modellen en de rekening bij de provider staan op het spel voor Nederlandse ontwikkelteams die via Console OpenAI, Anthropic of Google gebruiken. Vervang gekoppelde sleutels en controleer recente verzoeken en kosten bij elke aanbieder. De melding bevestigt mogelijke blootstelling, niet dat een sleutel daadwerkelijk is gebruikt.

OpenCode bakent de getroffen groep af

OpenCode schreef op 17 oktober dat de inbraak de voorgaande nacht plaatsvond en verband hield met een grootschalige distillatie-aanval. Alle getroffen accounts kregen die ochtend een e-mail. Volgens OpenCode ging het om een deel van de gebruikers die externe providers hadden gekoppeld; wie geen e-mail kreeg, was volgens het bedrijf niet geraakt.

OfficeChai meldt dat de e-mail aan klanten waarschuwde dat API-sleutels in een ouder systeem mogelijk toegankelijk waren voor aanvallers. OpenCode heeft niet gemeld dat aanvallers de sleutels kopieerden, ermee modelverzoeken deden of kosten veroorzaakten. Het percentage gaat over Console-gebruikers, niet over het aantal bekeken sleutels of betaalde verzoeken.

OpenCode noemt het incident nog lopend en zegt samen te werken met Anthropic, OpenAI en Google. De openbare melding geeft geen informatie over de aanvaller, de toegangsmethode of de duur van de blootstelling.

Distillatie is een trainingsmethode waarbij uitvoer van een groot model als trainingsdata dient voor een kleiner model. OpenAI beschrijft hoe zulke antwoorden een kleinere versie op een specifieke taak kunnen trainen. OpenCode noemt de activiteit in dit incident een aanval, maar heeft niet bekendgemaakt welke bron- en doelmodellen betrokken waren of hoe de antwoorden zijn verzameld.

Console houdt de sleutels achter één gateway

De Console-documentatie beschrijft de koppeling. Een beheerder voert een provider-API-sleutel in, waarna Console die bewaart. Console stuurt modelverzoeken via een gateway, het centrale doorgeefpunt. Teamleden gebruiken de modellen zonder de provider-API-sleutel zelf te zien. De aanbieder factureert de tokens rechtstreeks aan de organisatie die de provider heeft gekoppeld; Console registreert daarnaast verzoeken en berekende kosten.

Controleer daarom twee plekken. In Console ziet een beheerder welke modellen zijn gebruikt en welke kosten zijn geregistreerd. In de dashboards van OpenAI, Anthropic of Google staan de providerverzoeken en de facturering van de sleutel zelf. Een sleutel intrekken en vervangen voorkomt dat een mogelijk blootgestelde oude sleutel verder werkt; de logs helpen vaststellen of er al afwijkend gebruik was.

De melding gaat over OpenCode Console. OpenCode noemt zichzelf een open source AI-codeerassistent voor gebruik in terminal, IDE en desktop. De verklaring zegt niet dat lokale installaties zonder Console zijn geraakt.

Een vergelijkbare concentratie speelde bij een afzonderlijke kwetsbaarheid in LiteLLM. Daar gaven drie fouten een gewone gebruiker beheerdersrechten en code-uitvoering op de AI-gateway. Dat was een ander product en een andere aanval. De overeenkomst zit in de plek waar meerdere modelaanbieders, toegangsrechten en providerkeys samenkomen.

Gekoppelde sleutels kunnen meer dan kosten dragen

De mogelijke gevolgen reiken verder dan een onverwachte rekening. Bij LLMjacking gebruiken aanvallers gestolen AI-toegang om betaalde modelverzoeken op andermans kosten te doen. In een aparte campagne beschrijft CrowdStrike bijna 200.000 API-verzoeken in twee minuten via gestolen AI-toegang. Dat rapport gaat over eigen waarnemingen van het beveiligingsbedrijf tussen juli 2025 en juni 2026, niet over OpenCode. De casus laat wel zien hoe snel een gestolen sleutel betaalde modelcapaciteit kan ontsluiten. De accounteigenaar betaalde voor de modelverzoeken van de aanvaller.

Anthropic rapporteerde in september een ander voorbeeld: na inbraken op doelwitten werd een gestolen AI-sleutel ongeveer drie weken gebruikt voor aanvallen op andere organisaties, waaronder een Franse winkelketen. Die sleutel werd dus ingezet voor vervolg-aanvallen buiten de oorspronkelijke inbraak. Dit is geen bewijs dat de OpenCode-sleutels zijn misbruikt. Het maakt wel duidelijk waarom controle van gebruik naast sleutelrotatie hoort.

De twee rapporten komen van aanbieders die hun eigen dreigingsonderzoek publiceren. Ze beschrijven afzonderlijke campagnes en kunnen de ontbrekende details over OpenCode niet invullen. De ontbrekende details over OpenCode moeten dus nog van het bedrijf en de drie betrokken modelaanbieders komen.

Providerlogs moeten de open vragen beantwoorden

OpenCode heeft nog niet bekendgemaakt welk ouder systeem is benaderd, welke provider-API-sleutels in dat systeem stonden of hoeveel accounts daar precies onder vallen. Ook is niet duidelijk of aanvallers sleutels alleen konden bereiken, ze daadwerkelijk lazen of er verzoeken mee verstuurden. Mogelijke toegang tot een sleutel is daarmee nog geen bewijs van misbruik.

Getroffen organisaties kunnen de directe onzekerheid verkleinen door de gekoppelde sleutels in te trekken, nieuwe sleutels met alleen de benodigde rechten aan te maken waar de provider dat ondersteunt en de gebruiks- en kostenlogs bij elke provider te controleren. Een vaste aanpak voor AI-API-sleutels inventariseren, versleuteld centraal bewaren en oude sleutels echt intrekken maakt zo’n controle herhaalbaar.

Console maakt het eenvoudiger om meerdere modellen in één werkruimte te delen. Die keuze bundelt ook de API-sleutels van aanbieders achter één beheerde toegangspoort. OpenCode en de betrokken aanbieders moeten nog duidelijk maken of een sleutel is gebruikt; tot die tijd kunnen providerlogs laten zien of het gebruik of de kosten afweken.