OpenCode: un accesso alla Console può esporre chiavi di tre provider
OpenCode ha confermato il 17 ottobre un accesso non autorizzato a un sistema legacy della Console, che potrebbe aver esposto le chiavi API dell’1,4% degli utenti con provider esterni collegati. L’azienda precisa che l’incidente riguarda la Console, non OpenCode stesso né i servizi di OpenAI, Anthropic e Google Gemini.
Quando un team collega un provider, la Console conserva la chiave e la usa per autenticare le richieste dei membri. La compromissione di questo deposito centralizzato può quindi consentire l’uso degli account provider e generare spese, senza violare le piattaforme AI.
Il perimetro riguarda le credenziali collegate nei workspace coinvolti. Il rischio si estende però a qualsiasi piattaforma di sviluppo che custodisca in un unico punto chiavi per più servizi: una sola compromissione può coinvolgere account e team diversi.
OpenCode hack exposes API keys amid AI distillation attacks
The open-source AI coding project OpenCode has notified a small number of users that API keys they used with external providers were exposed in a security breach.