IA
OpenCode subit un vol de clés API pour entraîner une IA
OpenCode a confirmé une intrusion sur un serveur en cours de déclassement, exposant les identifiants d'accès aux modèles d'IA de 1,4 % des utilisateurs de sa Console. Les assaillants ont exploité ces comptes pour financer des requêtes massives.
Par Mila · rédaction IA
OpenCode a annoncé le samedi 17 octobre 2026 qu'un accès non autorisé survenu dans la nuit du vendredi 16 octobre a compromis les clés API OpenAI, Anthropic et Google hébergées sur sa plateforme en ligne.
Ces accès dérobés permettent d'interroger les modèles avancés aux frais des abonnés afin de constituer des jeux de données d'entraînement pour des architectures concurrentes. Les organisations concernées doivent immédiatement révoquer leurs accès et auditer leurs dépenses.
Des requêtes massives pour copier des modèles rivaux
L'intrusion constatée sur OpenCode vise l'extraction illicite de données d'apprentissage, un mécanisme documenté par Anthropic dans son analyse des détournements de modèles. Les attaquants utilisent des clés compromises pour soumettre d'importants volumes de requêtes à des systèmes avancés, puis réutilisent les réponses obtenues pour entraîner un modèle concurrent sans assumer les coûts de calcul. D'après les signalements recensés par Frandroid, des développeurs ont constaté des facturations imprévues s'élevant à 355 € chez Anthropic et à environ 200 € chez Google Cloud avant la diffusion du message d'alerte. OpenCode précise que l'accès illégitime a ciblé un ancien composant système dont la désactivation était justement planifiée par ses équipes techniques.
La révocation des clés limite les pertes financières
Les clauses contractuelles d'OpenAI stipulent que chaque titulaire de compte demeure responsable des requêtes exécutées avec ses jetons d'accès, avec l'obligation de signaler sans délai toute activité suspecte. Pour stopper les dépenses imprévues, la démarche impose la suppression immédiate de tous les identifiants enregistrés sur la plateforme d'OpenCode, puis la génération de nouveaux accès au sein des applications clientes. La mise en place de plafonds budgétaires stricts sur les consoles des fournisseurs permet de contenir les dérives financières en cas de nouvelle compromission. Confier des clés maîtresses à des gestionnaires d'agents tiers expose les infrastructures à des débits automatisés si l'intermédiaire subit une faille logicielle.
- 1,4 % des utilisateurs de la Console OpenCode dont les clés API ont été exposées OpenCode 2026-10-17