OpenCode, un agent de programmation open source, a confirmé le 17 octobre 2026 une intrusion qui a pu exposer les clés API OpenAI, Anthropic et Google stockées dans sa Console, le service payant de gestion cloud greffé à l'outil. L'entreprise chiffre à 1,4 % la part des utilisateurs de Console concernés et relie l'incident à une « attaque par distillation ». Des victimes rapportent déjà des alertes de dépenses sur leurs comptes de fournisseurs d'IA. Frandroid a relayé l'affaire.

Un système « legacy » en cours de démantèlement

Le message envoyé aux utilisateurs concernés décrit un « accès non autorisé à un système legacy que nous étions en train de mettre hors service », selon les captures reprises par Cellcog et Safeguard. Ce sont les clés de fournisseurs tiers « sauvegardées dans votre espace de travail » qui pouvaient y être exposées, le courriel citant OpenAI et Anthropic en exemple. Des utilisateurs ont par la suite signalé des alertes du côté de Google, qu'OpenCode nomme aussi comme partenaire de remédiation.

Le périmètre annoncé est précis sur un point, flou sur les autres. OpenCode a publié sur X que l'incident « a touché 1,4 % des utilisateurs d'OpenCode Console », tous clients ayant relié un fournisseur externe à leur espace de travail. Ce pourcentage mesure une part d'utilisateurs de Console, pas la proportion de clés exposées ni le nombre absolu de comptes. L'entreprise n'a communiqué aucun autre détail : total d'utilisateurs touchés, nombre de clés, faille exploitée et mode de chiffrement des clés restent inconnus. Elle a écrit que « l'incident est en cours, nous ne pouvons pas partager plus de détails à ce stade ».

La chronologie est serrée. Une notification reçue par un utilisateur situe l'exposition possible la plus ancienne à 00 h 30 UTC le 17 octobre, soit dans la nuit du 16 au 17. Un avis « Action requise : fuite potentielle de clé fournisseur » circulait sur le forum r/opencode en début d'après-midi, suivi d'une première déclaration publique sur X, corrigée en soirée pour y ajouter le chiffre de 1,4 %. OpenCode dit avoir écrit à chaque utilisateur identifié le matin même ; quiconque n'a rien reçu ne serait pas concerné. L'application OpenCode elle-même n'est pas touchée. Son développeur Dax Raad précise que les clés employées directement par l'agent ne transitent pas par les serveurs de Console.

Des factures qui grimpent à plusieurs centaines de dollars

La particularité de ce type de vol tient au mode de facturation des services d'IA. Une clé API donne le droit de lancer des requêtes débitées sur le compte de son propriétaire. Un attaquant qui la détient consomme donc des modèles coûteux sans rien payer, pendant que la victime reçoit l'addition. L'actif dérobé est la capacité de passer un grand nombre d'appels payants au compte d'autrui.

Les attaquants ont enchaîné des requêtes vers des modèles haut de gamme, et les soldes se sont vidés vite. Cryptobriefing rapporte des factures montant « jusqu'à plusieurs centaines de dollars ». Un utilisateur, Chris Sinco, a vu des alertes de dépenses arriver chez OpenAI, Anthropic et Google simultanément ; seul Google a suspendu son projet de sa propre initiative. Côté fournisseurs, Anthropic a révoqué les clés Claude jugées touchées, en coordination avec OpenCode, d'après un message de Lydia Hallie daté du 17 octobre. Cette parade coupe l'accès avec l'ancienne clé mais n'annule pas les frais déjà engagés.

Le schéma rappelle le LLM-jacking documenté par Google fin septembre, où des comptes d'IA volés sont revendus ou exploités aux frais de leur propriétaire, la facture pouvant dépasser plusieurs dizaines de milliers de dollars par jour sur un seul compte compromis. Il recoupe aussi un risque déjà vu ailleurs : une plateforme tierce qui conserve les identifiants de ses clients devient un point d'entrée unique, comme lors de l'attaque supply chain qui a siphonné des données Salesforce via la plateforme Klue, déclenchée elle aussi par un identifiant hérité resté actif.

Qu'est-ce qu'une « attaque par distillation »

La distillation est une technique d'entraînement. Un modèle plus petit apprend en étudiant les réponses d'un modèle plus grand et plus cher, et reproduit une partie de ses capacités à moindre coût. Au lieu de financer la recherche et le calcul nécessaires pour entraîner un modèle de pointe, on interroge massivement un modèle existant et on se sert de ses sorties comme données d'apprentissage. La pratique n'est pas illégale en soi, et plusieurs acteurs la décrivent comme une méthode répandue d'amélioration des modèles. Elle devient un contentieux quand elle sert à copier un concurrent fermé et payant sans son accord.

Des clés API volées servent justement cet objectif. Les laboratoires surveillent et bloquent les faux comptes créés en masse pour aspirer leurs modèles. Une clé authentique, rattachée à un client qui paie, passe au contraire pour un usage légitime et attire moins l'attention. OpenCode qualifie l'intrusion d'« attaque par distillation à grande échelle », mais n'a produit aucune preuve publique que les clés volées aient effectivement servi à entraîner un modèle, ni précisé quels modèles ont été interrogés ni combien de requêtes ont été lancées. Exposition des clés et distillation restent, à ce stade, deux faits que l'entreprise associe sans les relier par une démonstration.

Le terme n'est pas choisi au hasard. Anthropic avait détaillé en février 2026 des opérations de distillation de Claude et accusé des laboratoires chinois d'avoir créé des dizaines de milliers de faux comptes pour collecter ses sorties. Dès le lendemain du choc DeepSeek, début 2025, OpenAI affirmait disposer d'indices que la start-up avait entraîné ses modèles en distillant les siens, sans en fournir la preuve publique. Le vol de clés API ouvre une voie plus discrète que ces faux comptes repérables.

Rotation des clés et plafonds de dépense

Les consignes de remédiation sont classiques mais sensibles à l'ordre. Supprimer d'abord la clé exposée provoque une panne des applications qui en dépendent. Les guides publiés recommandent donc de créer une nouvelle clé, de la déployer et de la vérifier, puis seulement de révoquer l'ancienne. Une fois la bascule faite, il faut mettre à jour partout où la clé vivait : variables d'environnement, fichiers .env, chaînes d'intégration continue, configurations d'agents et machines des coéquipiers.

Chaque fournisseur offre les mêmes leviers de contrôle. Du côté d'OpenAI, on supprime la clé compromise, on en crée une rattachée à un projet précis et on fixe le budget le plus bas possible après avoir inspecté la page d'usage. Anthropic permet de désactiver la clé dans l'onglet dédié, de consulter les rapports de coûts et de poser un plafond assorti d'une alerte par courriel. Google se gère depuis AI Studio ou la console Cloud, avec une clé restreinte à l'API Gemini et une alerte budgétaire. Dernier réflexe propre à cet incident : réserver à Console une clé dédiée à faible plafond plutôt que celle des applications de production, puisque le budget interne de Console ne s'applique qu'aux requêtes qui passent par lui et ne bloque pas un usage direct d'une clé fuitée.

L'enquête n'est pas close. OpenCode n'a pas précisé combien d'utilisateurs ont été touchés, ni quel système legacy a cédé, ni si les frais facturés aux victimes seront pris en charge.