OpenCode piraté : vos clés d'IA volées, la facture peut exploser !

Utiliser une intelligence artificielle pour programmer peut faire gagner beaucoup de temps. Mais lorsque les clés permettant d'accéder à ces services tombent entre de mauvaises mains, la facture peut devenir salée ! OpenCode, un assistant de programmation open source, a confirmé samedi 17 octobre avoir subi une intrusion touchant 1,4 % des utilisateurs de sa plateforme Console.

Des clés API potentiellement compromises

OpenCode permet aux développeurs de travailler avec plusieurs modèles d'intelligence artificielle, notamment ceux d'OpenAI, d'Anthropic et de Google. Certains utilisateurs enregistrent leurs propres clés API dans la Console, le service en ligne de la plateforme. Ces identifiants permettent d'effectuer des requêtes auprès des fournisseurs d'IA, généralement facturées en fonction de leur utilisation.

Selon OpenCode, l'intrusion a concerné un ancien système en cours de suppression. Les clés enregistrées dans certains espaces de travail ont pu être exposées. L'entreprise évoque une attaque de grande ampleur liée à la distillation, une technique permettant notamment d'utiliser les réponses d'une IA pour entraîner un autre modèle. Le mécanisme précis de l'intrusion n'a cependant pas été détaillé.

Jusqu'à 1 700 dollars de dépenses signalées

Plusieurs utilisateurs rapportent des consommations anormales sur leurs comptes d'IA. Certains évoquent plusieurs centaines de dollars de frais inattendus, tandis qu'un témoignage fait état de plus de 1 700 dollars. Des projets Google Cloud auraient également été suspendus après la détection d'activités suspectes. Ces montants proviennent de témoignages et non d'un bilan financier officiel.

OpenCode indique avoir averti les comptes concernés par courriel et travailler avec les fournisseurs d'IA pour résoudre la situation.

Que faire si vous utilisez OpenCode ?

Les utilisateurs concernés doivent révoquer immédiatement les clés enregistrées dans la Console, directement depuis les plateformes OpenAI, Anthropic ou Google, puis en créer de nouvelles. Il est également recommandé de vérifier les consommations récentes et d'activer des alertes de dépenses lorsque cette possibilité existe.

Précision importante : l'incident annoncé concerne le service Console et certains comptes ayant connecté des fournisseurs externes. Rien ne permet d'affirmer que toutes les installations locales du logiciel ont été compromises.