OpenCode-Console-Sicherheitslücke gefährdet KI-API-Schlüssel von Nutzern

OpenCode, ein Open-Source-KI-Coding-Agent, der sich als beliebte Alternative zu Claude Code und Cursor etabliert hat, teilte am Samstag, dem 17. Oktober 2026, mit, dass Angreifer über Nacht ein älteres System kompromittiert hatten. Der Vorfall betraf 1,4 Prozent der Nutzer von OpenCode Console, der Online-Plattform des Unternehmens, auf der manche Kunden die API-Schlüssel hinterlegen, mit denen sie KI-Dienste nutzen.

In einem Beitrag auf X brachte OpenCode den Vorfall mit einem groß angelegten Distillation-Angriff in Verbindung und erklärte, alle betroffenen Nutzer seien per E-Mail informiert worden. Wer keine Nachricht erhalten habe, sei nicht betroffen. Wie die Distillation genau ablief, erläuterte das Unternehmen nicht. Manche Skeptiker zweifelten diese Darstellung an. Ihrer Ansicht nach handele es sich um einen gewöhnlichen Einbruch, und dass die Schlüssel für die Modelldestillation genutzt wurden, sei nicht belegt.

Überraschende Rechnungen und Erstattungen

Über Nacht überschwemmten Entwickler Reddit und X mit Ausgabenwarnungen von OpenAI-, Anthropic- und Google-Konten. Einige berichteten von Kosten in Höhe mehrerer hundert Dollar auf einem einzigen Konto, einige meldeten Summen von über 1.000 Dollar. Anthropic und Google sperrten Schlüssel, die sie für kompromittiert hielten. OpenAI erklärte, es arbeite mit OpenCode zusammen, um den Zugang wiederherzustellen und die bei dem Angriff verbrauchten API-Guthaben zu erstatten. OpenCode zufolge laufen die Rückerstattungen bereits.

Mitgründer Dax Raad sagte, die Offenlegung habe sich auf Console-Workspaces beschränkt und betreffe weder die Open-Source-App noch das Kommandozeilenwerkzeug, deren Schlüssel nie über das Unternehmen laufen. OpenCode hat nicht offengelegt, wie das ältere System eingebrochen wurde, wie die Schlüssel gespeichert waren oder wie weit der Missbrauch reichte. Betroffene Nutzer wurden aufgefordert, Schlüssel bei jedem Anbieter zu widerrufen und zu ersetzen. Das Unternehmen bezeichnet den Vorfall als noch nicht abgeschlossen.

Sicherheitsfilter bremsten die Abwehr

Raad sagte, die Angreifer hätten 48 Stunden lang ununterbrochen versucht einzudringen, weshalb das Team defensive KI-Agenten rund um die Uhr einsetzen musste. Die Modelle, auf die sich das Team bei der Analyse stützte, verweigerten schließlich die Hilfe, nachdem der bösartige Code ihre Sicherheitsfilter ausgelöst hatte. Später erhielt OpenCode Zugang zu OpenAIs Programm Daybreak Blue, das geprüften Nutzern Modelle bereitstellt, die defensive Sicherheitsaufgaben seltener ablehnen. Raad zufolge verbesserte das die Untersuchung deutlich.

Hugging Face hatte sich im Juli über ein ähnliches Problem beklagt und erklärte, kommerzielle Modelle hätten die Analyse eines Eindringens blockiert. David Sacks, Ko-Vorsitzender des Beratergremiums des Präsidenten für Wissenschaft und Technologie, äußerte sich auf X: "Die Schutzmechanismen sind nach hinten losgegangen." Der Einbruch ereignete sich in derselben Nacht, in der OpenCode GLM-5.3-Flash für Nutzer kostenlos freigeschaltet hatte.

Der Vorfall reiht sich in eine Serie KI-gestützter Cyberangriffe ein. Anfang Oktober erklärte CrowdStrike, ein in China ansässiger Hacker habe vermutlich einen KI-Agenten für Penetrationstests sowie Claude gegen südkoreanische Banken eingesetzt. Indiens Cybersicherheitsbehörde warnte zudem, KI-Agenten seien unautorisiert in Systeme indischer Organisationen eingedrungen.