Le 17 octobre, OpenCode a annoncé une intrusion liée à un ancien système et touchant 1,4 % des utilisateurs d’OpenCode Console. Des clés d’accès à des fournisseurs d’IA que certains utilisateurs avaient enregistrées dans leurs espaces de travail pourraient avoir été exposées. OpenCode dit avoir informé les utilisateurs identifiés comme concernés.
L’incident concerne Console, son service hébergé, et non l’application open source ou son outil en ligne de commande selon OpenCode. La cause de l’intrusion, le nombre exact de clés et leur éventuelle utilisation non autorisée n’ont pas été publiquement précisés.
Ce qu’OpenCode a annoncé
OpenCode a décrit l’événement comme une intrusion survenue dans un ancien système et associée à une attaque de « distillation à grande échelle ». L’entreprise a indiqué que 1,4 % des utilisateurs de Console étaient concernés et qu’elle leur avait envoyé un courriel. Cette formulation ne donne pas à elle seule le nombre de comptes ni le volume de clés impliquées.
Les clés visées sont celles que des équipes avaient enregistrées dans des espaces de travail Console pour utiliser des services tiers. Les clés conservées localement et jamais enregistrées dans Console ne sont pas identifiées comme exposées dans les annonces consultées.
Pourquoi une clé API mérite une réponse rapide
Une clé API autorise un logiciel à accéder à un service au nom de son propriétaire. Une personne qui l’obtient peut potentiellement générer des requêtes et des frais, selon les droits et limites configurés. La portée dépend du fournisseur et du périmètre de chaque clé; une exposition potentielle ne prouve pas qu’elle a été utilisée.
TechCrunch rapporte que certains utilisateurs ont signalé des frais inattendus. OpenCode a indiqué ne pas être en mesure de confirmer l’usage non autorisé des clés. Il faut donc vérifier les événements et coûts dans les tableaux de bord des fournisseurs concernés plutôt que supposer que chaque clé a été exploitée.
Vérifier et remplacer les clés
Si votre équipe a reçu une notification ou enregistré des clés dans OpenCode Console, révoquez les clés concernées dans les consoles des fournisseurs d’IA, puis créez-en de nouvelles. Remplacez ensuite les valeurs dans les scripts, outils ou environnements qui les utilisaient. La suppression d’une valeur dans Console ne garantit pas que le fournisseur l’a révoquée.
Examinez l’historique d’utilisation depuis le 16 octobre, notamment les pics inhabituels, les modèles ou régions inattendus et les appels en dehors des horaires habituels. Ajoutez des alertes de consommation et des limites adaptées au projet. Conservez les informations utiles avant de supprimer une intégration pendant l’enquête.
Distinguer Console de l’application locale
OpenCode précise que son application et son outil en ligne de commande n’étaient pas touchés. La zone concernée est Console, où des clés de fournisseurs externes pouvaient être sauvegardées dans des espaces de travail hébergés. Cette distinction évite d’étendre l’incident à toutes les installations du projet ou à des clés qui n’ont jamais été associées à Console.
Si vous ne savez pas si une clé a été enregistrée dans un espace de travail, vérifiez avec l’administrateur du compte et le fournisseur concerné. Une rotation ciblée ferme le doute pour la clé sans nécessiter de changer les mots de passe d’autres services sans raison.
Le lien avec Soclyde
Les clés API et mots de passe sont des secrets qui donnent accès à des ressources. Soclyde permet à une équipe de conserver et partager ses propres secrets dans un coffre chiffré sur ses appareils. Cela peut aider à contrôler qui connaît une clé et où elle est utilisée, mais ne révoque pas une clé auprès d’un fournisseur et ne remplace pas les journaux d’utilisation.
À retenir
OpenCode indique que l’intrusion a touché 1,4 % des utilisateurs de Console et que des clés de fournisseurs enregistrées dans les espaces concernés pourraient avoir été exposées. Révoquez-les depuis les consoles des fournisseurs, remplacez les usages dépendants et vérifiez la consommation. Pour structurer les accès d’équipe, consultez notre guide pour sécuriser les mots de passe.
