Взлом OpenCode: хакеры накрутили пользователям счета за чужие запросы к моделям - до $1,700 на аккаунт

OpenCode, открытый AI-агент для программирования и альтернатива Claude Code и Cursor, 17 октября 2026 года сообщил о взломе: ночью атакующие проникли в устаревшую систему, которую компания как раз выводила из эксплуатации. Под ударом оказалась OpenCode Console - онлайн-платформа, где часть пользователей хранит API-ключи от OpenAI, Anthropic и Google. В письме пострадавшим компания указала самую раннюю возможную утечку ключей - 00:30 UTC 17 октября; другие данные, по её оценке, не пострадали.

Console устроена так, что участники команды самих ключей не видят: платформа хранит ключи каждого рабочего пространства и сама аутентифицирует запросы к провайдерам. Поэтому утечка коснулась только тех, кто подключил внешних провайдеров, - 1.4% пользователей Console. Утром 17 октября компания разослала им письмо с темой "Action Required: Potential provider key breach" и подчеркнула: кто такого письма не получил, тот не затронут. Приложение OpenCode и командная строка не пострадали - ключи, добавленные локально, хранятся на машине пользователя и, по словам сооснователя Дакса Раада, компании не передаются.

Использовались ли ключи на самом деле, OpenCode не подтверждает: компания говорит только, что ключи могли быть раскрыты, и не заявляет, что их скопировали или пустили в ход. Но в ту же ночь владельцы ключей начали публиковать алерты о расходах: у одного разработчика с ключа OpenAI списали $281, а с ключа Anthropic - $168; ещё один пользователь оценил свои потери в $1,700. TechCrunch пишет о списаниях в сотни долларов на отдельных аккаунтах, а часть клиентов Google обнаружила свои проекты приостановленными - системы Google увидели активность, похожую на захваченные ресурсы.

Сам взлом OpenCode связала с масштабной атакой дистилляции. Дистилляция - обычный приём обучения: меньшую модель учат на ответах более мощной, и она получается дешевле. Атакой он становится, когда ответы собирают массово и без разрешения. Как взлом связан с дистилляцией, компания не объяснила, и часть наблюдателей сочла формулировку натяжкой: взлом очевиден, а использование ключей для дистилляции не доказано. Атаки одной ночью не закончились: по словам Раада, системы OpenCode непрерывно пытались взломать 48 часов подряд, а защищаться команде помогали собственные AI-агенты круглосуточно.

Отбиваться мешали сами модели. Команда разбирала вредоносный код с помощью AI, и в какой-то момент модели начали отказывать в запросах - срабатывали встроенные фильтры безопасности. Раад признал, что это было досадно. Ситуация выровнялась после доступа к программе OpenAI Daybreak Blue: она даёт проверенным пользователям модели, которые реже отказываются выполнять защитную работу.

Провайдеры действовали параллельно. Anthropic и Google заблокировали ключи, которые сочли раскрытыми. OpenAI работала с OpenCode над восстановлением доступа пострадавших и вернула своим API-клиентам кредиты, потраченные в ходе атаки. OpenCode со своей стороны заявила, что возвраты за несанкционированные списания уже идут.

Что делать пострадавшим, OpenCode написала прямо: отозвать ключи у каждого провайдера и выпустить новые, обновить приложения и скрипты, где использовались старые, и проверить использование и биллинг у провайдеров начиная с 16 октября. В тех же рекомендациях - совет, полезный всем, кто раздаёт ключи AI-инструментам: лимит расходов или алерт у провайдера и отдельный ключ на каждый инструмент - тогда утекший ключ бьёт слабее, а его использование проще отследить. Как атакующие попали внутрь, как хранились ключи и каков полный масштаб злоупотреблений, OpenCode не раскрыла; инцидент компания называла продолжающимся.