OpenCode bestätigt Sicherheitsvorfall: 1,4 Prozent der Console-Nutzer betroffen

OpenCode, ein Open-Source-Agent fürs Programmieren mit KI, schrieb auf X: „We had a security breach last night related to a large-scale distillation attack that impacted 1.4% of OpenCode Console users. We have notified them all this morning via email.“ Wer keine E-Mail erhalten habe, sei nicht betroffen, erklärte das Unternehmen. Mitgründer Dax Raad sagte, die Open-Source-App und das Kommandozeilenwerkzeug seien nicht betroffen. „Note this is the OpenCode Console, not OpenCode itself, those keys never come to us“, schrieb er auf X.

OpenCode Console ist die gehostete Plattform, auf der einige Nutzer API-Schlüssel für Dienste wie OpenAI, Anthropic und Google speichern. Betroffen waren laut OpenCode nur jene Console-Konten, die externe Anbieter verknüpft hatten. CPO Magazine berichtete, OpenCode habe rund 16.000.000 aktive Nutzer pro Monat. Die Zahl von 1,4 Prozent bezieht sich auf die Console-Nutzer, nicht auf diese größere Basis. Console speichert die Zugangsdaten der verbundenen Anbieter und setzt sie in Anfragen ein, die über das eigene Gateway weitergeleitet werden, so CPO Magazine. Ein gestohlener Schlüssel lässt sich daher auf Kosten des Kontoinhabers nutzen, bis der Anbieter ihn sperrt.

OpenCode hat nicht offengelegt, wie die Angreifer Zugang zu dem älteren System erhielten, wie die Schlüssel gespeichert waren oder wie groß der Schaden durch Missbrauch insgesamt ist. Auch eine Gesamtsumme der betrügerischen Abbuchungen nennt das Unternehmen nicht. Es hat den Urheber der Angriffe nicht benannt. Ebenso wenig teilte es mit, wie viele Console-Nutzer API-Schlüssel in dem Dienst gespeichert oder einen externen Anbieter verknüpft hatten. Der Vorfall dauere an, erklärte das Unternehmen, und man arbeite mit Anthropic, OpenAI und Google zusammen.

Was Nutzer berichteten

Entwickler begannen über Nacht, auf Reddit und X Ausgabenwarnungen und unautorisierte Abbuchungen zu posten. Einer schrieb: „I saw my Open AI, Anthropic, and Google AI spend alerts all fire off before going to bed wondering what was going on.“ TechCrunch berichtete, die Abbuchungen hätten auf einzelnen Konten mehrere Hundert Dollar erreicht, einige Nutzer nannten Summen über 1.000 Dollar. In einem von Notebookcheck zitierten Reddit-Thread meldete ein Nutzer 400 Dollar unautorisierte Abbuchungen auf einem Anthropic-Konto. Ein anderer berichtete von Gebühren für die Google-Nutzung von rund 200 Euro; sein Projekt sei wegen übermäßigen Missbrauchs gesperrt worden. CPO Magazine berichtete von einem Fall mit Abbuchungen bis zu 1.700 Dollar.

Anthropic und Google sperrten nach Angaben von TechCrunch die API-Schlüssel, die ihrer Ansicht nach offengelegt worden waren. OpenAI erklärte, man habe mit OpenCode zusammengearbeitet, um den Zugang wiederherzustellen, und habe Guthaben erstattet, das API-Kunden durch den Angriff verloren hatten. Raad sagte, die Erstattungen von OpenCode für unautorisierte Abbuchungen liefen bereits.

Warum die Bezeichnung Destillation umstritten ist

Die Bezeichnung des Unternehmens, ein groß angelegter Destillationsangriff, ist umstritten. Destillation bedeutet in diesem Zusammenhang, Grenzmodelle massenhaft abzufragen und die Antworten zu nutzen, um ein anderes Modell zu einem Bruchteil der Kosten zu trainieren oder zu verbessern. Gestohlene API-Schlüssel können Nutzern in Ländern mit eingeschränktem Zugang zu amerikanischen Modellen helfen, die großen Mengen an Ausgaben zu erzeugen, die dieser Prozess braucht, berichtete TechCrunch. Betreiber in diesen Ländern können Anfragen zudem über Vermittlungsdienste wie LLM-Gateways oder Proxy-Netzwerke leiten, um ihre Identität zu verschleiern. Skeptiker nannten die Darstellung überzogen und erklärten, eine Nutzung zur Destillation sei weiterhin nicht belegt. CPO Magazine merkte an, dass derzeit keine konkreten Belege zeigen, dass es sich um einen Destillationsangriff handelte.

Was betroffene Nutzer tun sollten

OpenCode riet betroffenen Nutzern, ihre Anbieterschlüssel zu sperren und zu ersetzen, Anwendungen mit diesen Schlüsseln zu aktualisieren und die jüngste Nutzung auf unerwartete Aktivitäten zu prüfen. Das Unternehmen empfahl außerdem, Nutzung und Abrechnung auf unbekannte Anfragen seit dem 16. Oktober zu kontrollieren und Ausgabenlimits zu setzen. Wer einen Schlüssel in Console löscht, beendet den Zugang eines Angreifers damit nicht. Nutzer müssen ihn im Dashboard des Anbieters sperren.