OpenCode hat am 17. Oktober einen Sicherheitsvorfall in seinem gehosteten Console-Dienst bestätigt. Nach Unternehmensangaben sind 1,4 Prozent der Console-Nutzer betroffen, und zwar eine Teilgruppe mit angebundenen externen AI-Providern. OpenCode erklärte, die Betroffenen per E-Mail benachrichtigt zu haben. Die Untersuchung läuft noch.
In den von Empfängern veröffentlichten Benachrichtigungen beschreibt OpenCode unautorisierten Zugriff auf ein Altsystem, das außer Betrieb genommen werden sollte. API-Schlüssel externer Modellanbieter, die in Console-Workspaces gespeichert waren, könnten offengelegt worden sein. Ob und wie viele Schlüssel tatsächlich kopiert oder missbraucht wurden, ist nicht bestätigt. Auch eine absolute Zahl betroffener Konten fehlt.
Der Vorfall betrifft den gehosteten Credential-Pfad
OpenCode ist sowohl ein lokal ausführbarer Coding-Agent als auch Anbieter eines optionalen Console-Dienstes. Diese Unterscheidung ist für die Exposition wesentlich. In der offiziellen Console-Dokumentation steht, dass Organisationen ihre bestehenden Konten bei Anthropic, OpenAI und weiteren Modellanbietern anbinden können. Console speichert den jeweiligen Schlüssel und leitet Modellaufrufe über ein Gateway weiter. Teammitglieder können so Modelle verwenden, ohne den Provider-Schlüssel selbst zu sehen.
Ein Angriff auf diesen gehosteten Credential-Pfad kann daher Berechtigungen außerhalb von OpenCode betreffen. Die Reichweite eines möglichen Missbrauchs hängt davon ab, welche Rechte und Kostenlimits die jeweiligen Provider-Schlüssel besitzen. Das lokale OpenCode-Programm ist nach Angaben des Projektteams nicht Gegenstand des gemeldeten Console-Einbruchs; Schlüssel, die ausschließlich lokal in der Anwendung verwendet werden, werden laut Team nicht an OpenCode übertragen.
„Distillation-Angriff“ ist bislang keine technische Ursachenbeschreibung
OpenCode bezeichnete den Einbruch in seiner öffentlichen Mitteilung als Vorfall im Zusammenhang mit einem groß angelegten Distillation-Angriff. Es hat aber nicht erklärt, ob die Angreifer Modellantworten extrahieren wollten, ob API-Schlüssel für solche Abfragen eingesetzt wurden oder wie der Zugang zum Altsystem gelang. Aus der Wortwahl lässt sich keine konkrete Angriffskette ableiten.
OpenCode erklärte, mit Anthropic, OpenAI und Google an der Behebung zu arbeiten. Laut einer öffentlichen Äußerung aus dem Claude-Code-Team hat Anthropic Schlüssel widerrufen, die es als betroffen einschätzt. Auch dies ersetzt keine vollständige Aufstellung des tatsächlichen Datenzugriffs.
Für betroffene Console-Nutzer ist der nächste technische Schritt klar: Die dort hinterlegten Provider-Schlüssel bei ihren jeweiligen Anbietern widerrufen und neu ausstellen, abhängige Anwendungen umstellen und die Nutzungs- und Abrechnungsprotokolle auf unerwartete Modellaufrufe prüfen. Eine Rotation allein in der Console-Oberfläche reicht nicht, wenn ein zuvor ausgestellter Schlüssel beim Provider weiter gültig bleibt.
Der Vorfall zeigt ein konkretes Risiko zentralisierter AI-Gateways: Ein Team kann seine Schlüssel vor einzelnen Entwicklern verbergen und sie zugleich einem zusätzlichen gehosteten System anvertrauen. Welche Schutzmaßnahmen im kompromittierten Altsystem fehlten, ist bisher nicht öffentlich dokumentiert.
Quellen: OpenCode, öffentliche Mitteilung vom 17. Oktober 2026: https://x.com/opencode/status/2111519637049319818 ; OpenCode Console Providers: https://opencode.ai/v2/docs/console/providers ; unabhängige Dokumentation des Vorfalls: https://vibeincidents.com/incidents/opencode-provider-key-exposure-2026-10/ ; TSN Media, 17. Oktober: https://tsnmedia.org/opencode-console-breach-distillation/