Am Wochenende verschafften sich Angreifer Zugang zu einem älteren OpenCode-System und erlangten API-Schlüssel von 1,4 % der Nutzer von OpenCode Console, teilte das Unternehmen mit. Auf die Schlüssel – die für Dienste wie OpenAI, Anthropic und Google verwendet werden – folgten Ausgabenwarnungen und unbefugte Abbuchungen, die in einigen Fällen Hunderte oder mehr als 1.000 US-Dollar erreichten. OpenCode erklärte, dass seine Open-Source-App und sein Kommandozeilen-Tool nicht betroffen seien.¹

Das Unternehmen beschrieb den Vorfall als großangelegten Destillationsangriff, obwohl Skeptiker infrage stellten, ob diese Bezeichnung über das hinausgehe, was belegt worden sei. Klarer ist der unmittelbare Schaden: Anbieter begannen, offengelegte Schlüssel zu sperren, OpenAI erklärte, den Zugang wiederherzustellen und betroffenen API-Kunden die Kosten zu erstatten, und OpenCode leitete seinen eigenen Erstattungsprozess ein.

Der Druck endete nicht mit dem ersten Verstoß. Mitgründer Dax Raad sagte, Angreifer hätten die Systeme des Unternehmens 48 Stunden lang ununterbrochen sondiert und das Team gezwungen, rund um die Uhr defensive KI-Agenten einzusetzen. Doch als Ermittler Schadcode in führende Modelle einspeisten, begannen die Tools, die zunächst geholfen hatten, Anfragen abzulehnen, nachdem ihre Sicherheitsfilter ausgelöst worden waren. OpenCode erhielt anschließend Zugang zu OpenAIs Daybreak-Blue-Programm für geprüfte Cyberverteidiger, das Modelle mit weniger Einschränkungen anbietet.²

Diese Abfolge belebte einen Streit wieder, der bereits aus der Reaktion auf den früheren Einbruch bei Hugging Face bekannt war: Kann ein Modell zwischen einem legitimen Incident-Responder und einem Angreifer unterscheiden, der eine identische Anfrage stellt? Sicherheitsteams argumentieren, dass diese Unterscheidung bei einem laufenden Verstoß nicht einem groben Ablehnungsmechanismus überlassen werden könne. KI-Unternehmen entgegnen, dass ihre leistungsfähigsten Cyber-Tools gerade deshalb abgesichert werden müssten, weil böswillige Akteure sie ebenfalls ausnutzen würden.

David Sacks griff die Darstellung von OpenCode als Beleg gegen zentralisierte Sicherheitskontrollen auf und argumentierte, dass OpenCode und Hugging Face beide mitten im Angriff auf dasselbe Hindernis gestoßen seien, weil defensive Analysen die Leitplanken ausgelöst hätten. „Die Leitplanken gingen nach hinten los“, schrieb er.David Sacks (DavidSacks)³

Für OpenCode-Nutzer besteht die unmittelbare Aufgabe darin, Schlüssel zu ersetzen. Für die KI-Branche lautet die schwierigere Frage, ob Programme für geprüften Zugang schnell genug handeln können, bevor Verteidiger gezwungen sind, zwischen eingeschränkten proprietären Systemen und weniger kontrollierten Open-Weight-Alternativen zu wählen.