Violazioni · 20 ore fa
OpenCode ha confermato il 17 ottobre un accesso non autorizzato a un sistema legacy della Console, che potrebbe aver esposto le chiavi API dell’1,4% degli utenti con provider esterni collegati. L’azienda precisa che l’incidente riguarda la Console, non OpenCode stesso né i servizi di OpenAI, Anthropic e Google Gemini.
Quando un team collega un provider, la Console conserva la chiave e la usa per autenticare le richieste dei membri. La compromissione di questo deposito centralizzato può quindi consentire l’uso degli account provider e generare spese, senza violare le piattaforme AI.
Il perimetro riguarda le credenziali collegate nei workspace coinvolti. Il rischio si estende però a qualsiasi piattaforma di sviluppo che custodisca in un unico punto chiavi per più servizi: una sola compromissione può coinvolgere account e team diversi.
2 fonti che coprono questa storia
OpenCode hack exposes API keys amid AI distillation attacks
The open-source AI coding project OpenCode has notified a small number of users that API keys they used with external providers were exposed in a security breach.
OpenCode Breach Could Affect OpenAI, Anthropic and Google
A breach affecting the OpenCode Console may lead to the exposure of API keys for Anthropic, OpenAI and Google Gemini users
Part of the PlainSec briefing for 2026-10-20