Fuite chez OpenCode Console : des clés d’API d’IA volées ont fait grimper les factures

OpenCode, un assistant de programmation par IA à code source ouvert, affirme que des attaquants sont entrés pendant la nuit dans une ancienne partie de sa plateforme en ligne et ont pris des clés d’API que certains utilisateurs y avaient enregistrées. Ces clés ont ensuite servi à accumuler des frais sur les comptes OpenAI, Anthropic et Google des gens. Si vous utilisez OpenCode Console, ou gardez des clés d’IA dans un outil en ligne, voici ce qu’il faut savoir.

Ce qui s’est passé

OpenCode a déclaré le samedi 17 octobre qu’une fuite survenue la nuit précédente touchait 1,4 % des utilisateurs d’OpenCode Console, soit des personnes qui avaient enregistré leurs propres clés d’API de services d’IA dans des espaces de travail Console. L’entreprise a écrit à toutes les personnes touchées et a précisé que celles qui n’avaient pas reçu de courriel n’étaient pas touchées, a rapporté TechCrunch (en anglais).

Pendant la nuit, des développeurs ont publié des alertes de dépenses et des frais inattendus. Certains ont signalé des centaines de dollars sur un seul compte; quelques-uns, plus de 1 000 $. OpenCode a parlé d’une « attaque de distillation à grande échelle », ce qui signifie que les clés ont pu servir à générer de grands volumes de contenu par IA; certains critiques ont remis en question cette description. Anthropic et Google ont bloqué les clés qu’ils croyaient exposées. OpenAI dit avoir travaillé avec OpenCode pour rétablir l’accès et rembourser ses clients, et OpenCode affirme que les remboursements des frais non autorisés sont en cours.

Le cofondateur Dax Raad a précisé que seule la Console hébergée était touchée, pas l’application à code source ouvert ni l’outil en ligne de commande, dont les clés ne passent jamais par OpenCode. OpenCode n’a pas dit comment les attaquants sont entrés dans l’ancien système ni comment les clés étaient stockées, et a indiqué que l’incident était toujours en cours.

Ce que ça veut dire pour vous

Une clé d’API, c’est un mot de passe qui dépense de l’argent. Contrairement à une carte volée, les fournisseurs signalent rarement un usage inhabituel, alors une clé divulguée peut épuiser un budget en quelques heures. Et les clés se trouvent souvent à plusieurs endroits à la fois : un outil de programmation, un fichier de configuration, un tableau de bord infonuagique.

Ce que vous pouvez faire

1. Révoquez et remplacez toute clé enregistrée dans OpenCode Console, directement dans le tableau de bord de chaque fournisseur, comme le conseille OpenCode. Faites-le même si vous n’êtes pas certain.
2. Fixez des limites et des alertes de dépenses chez chaque fournisseur d’IA que vous utilisez. Plusieurs utilisateurs ne s’en sont aperçus que grâce à leurs alertes.
3. Utilisez des clés distinctes pour des outils distincts, pour qu’une fuite n’expose pas tout et soit facile à couper.
4. Vérifiez les factures de vos fournisseurs de la dernière semaine et demandez le remboursement de tout ce que vous n’avez pas fait.
5. Restez à l’affût de l’hameçonnage associé. Les courriels du genre « votre clé a fuité, connectez-vous ici » suivent souvent ce type d’incident.

Comment Frame peut aider

Frame se concentre sur les données personnelles plutôt que sur les clés de développeur, mais le réflexe est le même : savoir quels services détiennent quoi, et couper l’accès dès qu’il y a une fuite. Le catalogue de fuites de Frame vous permet d’ajouter à une adresse courriel vérifiée les incidents dont vous avez fait partie et d’obtenir une courte liste de vérification pour chacun. La recherche automatique de fuites n’est pas encore offerte. Pour comprendre comment les identifiants sont volés au départ, voyez comment les voleurs d’informations dérobent les sessions.

Sources

• TechCrunch, Hackers hit AI coding tool OpenCode, running up charges on users’ AI accounts (en anglais), 19 octobre 2026