OpenCode-gebruikers melden onverwachte AI-kosten

OpenCode-gebruikers melden op Reddit onverwachte kosten bij Anthropic na mogelijke blootstelling van gekoppelde API-sleutels; de aanbieder heeft de genoemde bedragen niet bevestigd.

Een gebruiker noemt daar $400 aan kosten. Notebookcheck meldt daarnaast circa €200 aan Google-verbruik en een geschorst project. Voor een Nederlands team kan zo’n rekening samenlopen met stilgevallen toegang tot modellen, maar geen bedrag is vastgesteld.

De bedragen komen uit gebruikersmeldingen

In de Reddit-discussie beschrijft dezelfde gebruiker de uitgaven als kosten die hij niet zelf heeft gemaakt. Een ander zegt dat ook zijn tegoed werd aangesproken en dat hij geen automatische opwaardering had ingesteld. Een derde beschrijft meldingen van Claude en OpenAI over ongebruikte tegoeden, die binnenkwamen voordat OpenCode de e-mail over het incident verstuurde.

Notebookcheck werkte het artikel op 18 oktober bij met die meldingen. Crypto Briefing beschrijft eveneens gebruikersmeldingen van modelrekeningen in de honderden dollars. Geen van beide artikelen toont gebruikslogs van de aanbieders, een factuur of een reactie van Anthropic of Google die deze bedragen bevestigt.

Dat onderscheid bepaalt wat uit de meldingen valt af te leiden. Er zijn concrete, openbare klachten over onverwacht verbruik. De precieze bedragen, de herkomst van de verzoeken en de uiteindelijke rekening zijn niet onafhankelijk vastgesteld. Twee nieuwsberichten over gebruikersclaims leveren samen nog geen controleerbare schadeopgave op.

OpenCode bevestigt het incident, niet de rekening

OpenCode schreef op 17 oktober dat 1,4 procent van de Console-gebruikers was geraakt. Het ging om een deel van de gebruikers met gekoppelde externe aanbieders. Het bedrijf zegt dat alle getroffen gebruikers per e-mail zijn geïnformeerd en dat het met Anthropic, OpenAI en Google aan herstel werkt. De openbare melding noemt geen betaalde verzoeken, totaalbedrag of regeling voor kosten die gebruikers betwisten.

De mogelijke toegang tot OpenCode-sleutels was nog geen bewijs dat aanvallers die ook gebruikten; gebruikslogs van de aanbieders moesten dat uitwijzen. De gebruikersmeldingen maken de mogelijke rekeningimpact concreter, maar laten nog niet zien welke verzoeken de accounts hebben belast.

Een limiet werkt per aanbieder en account

Anthropic publiceert voor zijn API drie standaardmaandplafonds: $500 voor Start, $1.000 voor Build en $200.000 voor Scale. Wanneer een account zijn plafond bereikt, pauzeert het API-gebruik tot de eerste dag van de volgende maand, tenzij het plafond eerder wordt verhoogd. Als de gemelde $400 nieuwe API-uitgaven binnen één maand op een Start-account betreft, is dat 80 procent van het gepubliceerde plafond. De gebruiker noemt geen accounttype of periode, dus die vergelijking zegt niet of een limiet is bereikt.

Google Cloud maakt een ander onderscheid. Een gewoon budget stuurt waarschuwingen wanneer kosten een ingestelde grens bereiken, maar een budget met alleen meldingen begrenst het verbruik niet automatisch. Een projectgebonden uitgavenstop bestaat alleen voor diensten die dit ondersteunen en moet apart worden ingesteld. De Reddit-melding maakt niet duidelijk of het om Google Cloud Billing of een andere Google-dienst gaat. Daardoor is ook onbekend welke limieten op die rekening van toepassing waren.

Voor teams die meerdere modelaanbieders koppelen, bestaat er geen vanzelfsprekende gezamenlijke noodrem: de limieten gelden per aanbieder en account. Een bedrag in de Anthropic-console vertelt niet hoeveel er bij Google is gebruikt; daarvoor zijn de afzonderlijke gebruiksgegevens nodig.

Zicht op kosten is nog geen blokkade

Een AI-kostendashboard dat verbruik per aanbieder, gebruiker, API-sleutel en model bundelt kan laten zien waar de uitgaven oplopen. In de beschreven preview waarschuwt 1Password bij budgetdrempels en schat het dagelijks verbruikstempo, maar het stopt de uitgaven niet automatisch. Dat maakt zo’n overzicht nuttig voor controle achteraf en signalering, terwijl een harde grens per account bij de aanbieder apart blijft.

Voor een onderzoek naar een onverwachte factuur zijn kostenregels alleen niet genoeg. De tijdstippen, sleutel-ID’s en modelaanroepen moeten naast de normale activiteit van het team worden gelegd. Een vaste werkwijze voor AI-sleutels per toepassing beperken en providergebruik per sleutel volgen helpt die gegevens bij het juiste proces onder te brengen.

De meldingen tonen dat sommige gebruikers onverwacht verbruik zien, maar ze bepalen nog niet wie welk bedrag verschuldigd is. OpenCode heeft de blootstelling bevestigd; de aanbieders hebben de gemelde rekeningen niet toegelicht. Voor organisaties die AI-modellen via gekoppelde tools gebruiken, loopt de financiële impact daarom nog per account bij de aanbieder uiteen. Een controleerbaar schadebeeld ontstaat pas als de gebruiksregels, sleutelgegevens en facturen op elkaar aansluiten.