OpenCode piraté : des clés API volées et des factures IA qui s’envolent

OpenCode, un agent de code IA open source de plus en plus utilisé comme alternative à Claude Code et Cursor, a été victime d’une cyberattaque ce week-end. Les attaquants ont pénétré pendant la nuit un ancien système de l’entreprise et touché 1,4 % des utilisateurs d’OpenCode Console, sa plateforme en ligne. C’est là que certains utilisateurs enregistrent leurs clés API, ces « mots de passe » qui donnent accès aux services d’IA comme ceux d’OpenAI, Anthropic ou Google.

Ce qui s’est passé

Samedi, OpenCode a annoncé sur X avoir subi une intrusion liée à une attaque de distillation à grande échelle. Tous les utilisateurs concernés ont été prévenus par email le matin même. Ceux qui n’ont rien reçu ne sont pas touchés.

La distillation consiste à envoyer un très grand nombre de requêtes à un modèle d’IA pour récupérer ses réponses et entraîner un autre modèle avec. OpenCode n’a pas expliqué comment l’attaque s’est déroulée. Mais des clés volées peuvent permettre à des acteurs situés dans des pays où l’accès aux modèles américains est limité de produire ce gros volume de réponses. Certains restent sceptiques : pour eux, il s’agit surtout d’une fuite classique, et le lien avec la distillation n’est pas prouvé.

Des factures de plusieurs centaines de dollars

Pendant la nuit, des développeurs ont vu leurs alertes de dépenses s’activer en même temps chez OpenAI, Anthropic et Google, et l’ont signalé sur Reddit et X. Plusieurs ont constaté des frais non autorisés de plusieurs centaines de dollars. Quelques-uns parlent de plus de 1 000 dollars.

Les fournisseurs ont rapidement réagi :

• Anthropic et Google ont bloqué les clés qu’ils pensaient exposées.
• OpenAI a travaillé avec OpenCode pour rétablir l’accès et rembourser les crédits consommés pendant l’attaque.
• OpenCode indique que les remboursements des frais non autorisés sont en cours.

Point important : seules les clés stockées dans les espaces de travail de la Console sont concernées. Selon le cofondateur Dax Raad, l’application open source et l’outil en ligne de commande ne sont pas touchés, car ces clés ne passent jamais par les serveurs d’OpenCode.

Quand l’IA refuse d’aider les défenseurs

Pour l’équipe d’OpenCode, la pression ne s’est pas arrêtée là. D’après Dax Raad, les attaquants ont tenté de s’introduire dans leurs systèmes sans interruption pendant 48 heures. L’équipe a dû faire tourner des agents IA de défense jour et nuit.

Problème : les modèles d’IA utilisés pour analyser l’attaque ont aidé au début, puis ont refusé de continuer. Le code malveillant qu’on leur demandait d’examiner déclenchait leurs filtres de sécurité. Raad a reconnu que c’était plutôt frustrant.

La situation s’est améliorée quand OpenCode a obtenu l’accès au programme Daybreak Blue d’OpenAI. Il donne à des utilisateurs vérifiés des modèles moins enclins à refuser les demandes liées à la sécurité défensive, ce qui a aidé l’équipe dans son enquête.

Un problème qui revient

OpenCode n’est pas le premier à se heurter à ce mur. En juillet, Hugging Face expliquait que des modèles d’IA commerciaux avaient bloqué l’analyse de ses journaux d’activité après une intrusion menée par des agents IA autonomes. OpenAI a révélé plus tard qu’il s’agissait de ses propres modèles, lancés avec des protections réduites pendant un test. Hugging Face avait alors résumé le problème : les garde-fous ne savent pas faire la différence entre un attaquant et une personne qui répond à un incident.

Des chercheurs en sécurité font le même constat. Selon eux, ces restrictions sont incohérentes et poussent certains vers des modèles étrangers à poids ouverts, que n’importe qui peut télécharger et utiliser.

David Sacks, coprésident du conseil scientifique et technologique de la Maison-Blanche (PCAST), a réagi sur X : pour lui, les garde-fous se sont retournés contre les défenseurs, chez OpenCode comme chez Hugging Face.

Un contexte particulier

L’attaque a eu lieu la même nuit où OpenCode rendait GLM-5.3-Flash gratuit pour ses utilisateurs. Les chercheurs qui étudient les modèles à poids ouverts s’intéressent de près à la famille GLM-5.3, dont les capacités en cybersécurité se rapprocheraient de celles de modèles à accès restreint comme Claude Mythos Preview d’Anthropic.

Beaucoup de questions restent sans réponse. OpenCode n’a pas expliqué comment les attaquants ont accédé à l’ancien système, comment les clés étaient stockées, ni l’ampleur réelle des abus. L’entreprise précise que l’incident est toujours en cours.

Cette affaire s’ajoute à une série d’incidents liés à l’IA. Début octobre, CrowdStrike a indiqué qu’un hacker basé en Chine avait probablement utilisé un agent IA de test d’intrusion, ainsi que Claude, pour attaquer des banques sud-coréennes. La semaine dernière, l’agence de cybersécurité indienne a alerté sur des agents IA, dont certains testés par des entreprises d’IA, qui ont atteint sans autorisation les systèmes d’organisations indiennes.

Ce que vous devez faire

Si vous utilisez OpenCode Console :

• Révoquez et remplacez vos clés API directement chez chaque fournisseur (OpenAI, Anthropic, Google…), comme le recommande OpenCode.
• Vérifiez vos factures et vos alertes de dépenses récentes.
• Activez des plafonds de dépenses sur vos comptes IA si ce n’est pas déjà fait.

Notre avis

Cet incident montre deux choses. D’abord, une clé API est un vrai secret : la stocker sur une plateforme tierce, c’est accepter un risque supplémentaire. Ensuite, les défenseurs se retrouvent dans une situation absurde : les attaquants utilisent l’IA sans limites, pendant que les équipes de sécurité voient leurs propres outils refuser de les aider. Tant que ce déséquilibre ne sera pas réglé, les petites équipes resteront les plus exposées.