OpenCode piraté : des clés d’API volées font grimper les factures d’IA de développeurs

Dans la nuit du 18 au 19 octobre 2026, des développeurs ont vu s’affoler les alertes de dépenses de leurs comptes OpenAI, Anthropic et Google. La cause : une intrusion chez OpenCode, un agent de programmation open source très utilisé, qui a exposé les clés d’API que certains de ses utilisateurs avaient enregistrées dans sa console en ligne. Ces clés, l’équivalent d’une carte de crédit pour les services d’IA, ont été utilisées par des inconnus.

1,4 % des utilisateurs de la console touchés

Sur X, OpenCode a reconnu « une faille de sécurité » qui a touché 1,4 % des utilisateurs de sa console, tous prévenus par courriel le matin du 19 octobre. Selon TechCrunch, plusieurs développeurs ont signalé des frais de plusieurs centaines de dollars, et quelques-uns plus de 1 000 dollars. L’application open source et l’outil en ligne de commande d’OpenCode ne sont pas concernés : seules les clés conservées dans les espaces de travail de la console l’étaient.

Les fournisseurs ont réagi vite. Anthropic et Google ont bloqué les clés qu’ils jugeaient exposées. OpenAI dit avoir travaillé avec OpenCode pour rétablir l’accès et rembourser les crédits consommés par l’attaque. OpenCode annonce que les remboursements des frais non autorisés sont en cours.

Une attaque pour « distiller » des modèles ?

OpenCode parle d’une « attaque de distillation à grande échelle ». La distillation consiste à interroger massivement un modèle puissant pour entraîner un modèle concurrent avec ses réponses ; des clés volées permettent de le faire aux frais des autres, y compris depuis des pays où l’accès aux modèles américains est restreint. Des sceptiques, cités par TechCrunch, jugent cette présentation exagérée : selon eux, il s’agit d’une simple intrusion, et l’usage des clés pour de la distillation n’est pas démontré.

Les bons réflexes avec ses clés d’IA

• Fixez un plafond de dépenses sur chaque compte OpenAI, Anthropic ou Google, avec une alerte bien en dessous.
• Créez une clé par projet ou par outil, pour pouvoir en couper une sans tout bloquer.
• Évitez de stocker vos clés dans des services en ligne tiers quand l’outil peut les garder sur votre machine.
• Si vous avez reçu le courriel d’OpenCode, révoquez les clés concernées, créez-en de nouvelles et vérifiez vos factures.

En bref

• Une intrusion chez OpenCode a exposé des clés d’API stockées dans sa console en ligne.
• 1,4 % des utilisateurs de la console sont touchés, avec des frais parfois supérieurs à 1 000 dollars.
• Anthropic et Google ont bloqué les clés, OpenAI rembourse ses clients, OpenCode aussi.
• Un plafond de dépenses limite les dégâts en cas de vol de clé.

Sources : TechCrunch (19 octobre 2026).

Le Bien Heureux · Rédaction Capibara · Mardi 20 octobre 2026