Sicherheitsverletzung bei OpenCode Console legt KI-Anbieter-Schlüssel für einige Nutzer offen

In der Nacht vom 16. Oktober verschaffte sich ein nicht autorisierter Akteur Zugang zu einem Legacy-System innerhalb der Infrastruktur von OpenCode. Das Unternehmen gab an, dass diese Sicherheitsverletzung möglicherweise Drittanbieter-KI-Schlüssel offengelegt hat, die Nutzer in OpenCode Console, dem optional gehosteten Workspace-Dienst, gespeichert hatten.

Was passiert ist

OpenCode Console ermöglicht es Teams, ihre eigenen API-Schlüssel für Anbieter wie OpenAI, Anthropic oder Google zu speichern. Der Dienst nutzt diese Schlüssel, um die jeweiligen Modelle aufzurufen, sodass Teammitglieder KI-Tools verwenden können, ohne die Zugangsdaten direkt selbst verwalten zu müssen. Die Verletzung betrifft spezifisch 1,4 % der Console-Nutzer, die einen externen Anbieter verknüpft hatten. Am Morgen des 17. Oktober sendete OpenCode eine E-Mail mit dem Betreff „Action Required: Potential provider key breach“ an diese betroffenen Nutzer und wies sie an, ihre Schlüssel zu widerrufen und zu ersetzen. Nutzer, die diese E-Mail nicht erhielten, waren nicht betroffen.

Die kompromittierten Schlüssel sind jene, die direkt in die Console-Oberfläche eingefügt wurden. Schlüssel, die lokal in den OpenCode-Befehlszeilen- oder Desktop-Apps gespeichert sind (und sich in einer lokalen SQLite-Datenbank befinden), waren von diesem Vorfall nicht betroffen. Mitbegründer Dax Raad stellte auf X klar, dass die Verletzung „die OpenCode Console betraf, nicht OpenCode selbst“, und betonte, dass lokal gespeicherte Schlüssel niemals ihre Server erreichen. Für Nutzer des gehosteten Console-Dienstes ist die Offenlegung jedoch erheblich, da Anbieter-Schlüssel als Bearer-Credentials fungieren. Jeder, der eine Kopie besitzt, kann abrechenbare Anfragen gegen das Konto des Eigentümers ausführen, bis der Anbieter den Schlüssel widerruft.

Das Löschen eines Schlüssels aus der Console-Oberfläche widerruft ihn nicht auf Ebene des Anbieters, noch verhindert ein in Console festgelegtes Budgetlimit Missbrauch. Dies liegt daran, dass Console nur Anfragen überwacht, die über sein eigenes Gateway laufen. Wenn ein Angreifer den Rohschlüssel besitzt, kann er Console vollständig umgehen. OpenCode beschrieb den Vorfall als andauernd und im Zusammenhang mit einem „groß angelegten Distillation-Angriff“ stehend, obwohl das Unternehmen nicht detailliert darlegte, wie beide zusammenhängen, oder das spezifische betroffene Legacy-System identifizierte. Angriffe auf die Systeme von OpenCode setzten sich bis zum 18. Oktober fort, was das Unternehmen dazu veranlasste, seine Verteidigungsmaßnahmen zu verstärken.

Wie es funktioniert

API-Schlüssel für große KI-Anbieter funktionieren als Bearer-Tokens, was bedeutet, dass der Besitz des Schlüssels vollen Zugriff auf die Fähigkeiten und die Abrechnung des zugehörigen Kontos gewährt. Im Modell von OpenCode Console vertrauen Nutzer der Plattform diese Schlüssel an, um nahtlosen Teamzugriff zu ermöglichen. Als ein Legacy-System verletzt wurde, war die Sicherheitsgrenze, die diese gespeicherten Geheimnisse schützte, kompromittiert. Im Gegensatz zur lokalen Speicherung, bei der Schlüssel auf der Maschine des Nutzers verbleiben, zentralisiert die gehostete Speicherung das Risiko. Wenn ein Angreifer diese Schlüssel extrahiert, kann er sie unabhängig von der OpenCode-Plattform nutzen.

Distillation-Angriffe beinhalten das Extrahieren großer Mengen an Modellausgaben, um konkurrierende Modelle zu trainieren. Diese Kampagnen verlassen sich oft auf Netzwerke von Fake-Accounts und gestohlenen Zugangsdaten. Während OpenCode die Verletzung mit solchen Aktivitäten in Verbindung brachte, ist die unmittelbare Bedrohung für Nutzer finanzieller und operativer Natur. Gestohlene Schlüssel können auf kriminellen Märkten weiterverkauft oder verwendet werden, um erhebliche Rechnungen anzuhäufen. Da die Schlüssel Bearer-Credentials sind, ist der Widerruf an der Quelle die einzige wirksame Maßnahme; das bloße Entfernen aus dem kompromittierten Dienst reicht nicht aus.

Wichtige Details

• Die Verletzung ereignete sich am 16. Oktober und betrifft 1,4 % der OpenCode Console-Nutzer mit verknüpften externen Anbietern.
• Nur Schlüssel, die im gehosteten Console-Dienst gespeichert waren, waren gefährdet; lokale Schlüssel in CLI- oder Desktop-Apps waren nicht betroffen.
• Betroffene Nutzer erhielten am 17. Oktober eine E-Mail mit der Anweisung, ihre API-Schlüssel zu widerrufen und zu ersetzen.
• Anbieter-Schlüssel sind Bearer-Credentials, daher stoppt das Löschen aus Console nicht die unbefugte Nutzung, wenn der Schlüssel kopiert wurde.
• Einige Nutzer berichteten über unbefugte Abbuchungen, darunter Verluste zwischen 168 $ und 1.700 $ über Konten bei OpenAI, Anthropic und Google.
• OpenCode gab an, dass der Vorfall mit einem groß angelegten Distillation-Angriff zusammenhängt und dass Versuche, die Systeme zu verletzen, bis zum 18. Oktober fortgesetzt wurden.

Warum es wichtig ist

Für Engineering-Teams, die auf gehostete KI-Dienste angewiesen sind, verdeutlicht dieser Vorfall die Risiken der Zentralisierung sensibler Zugangsdaten. Wenn eine Plattform Ihre API-Schlüssel speichert, sind Sie vollständig von deren Sicherheitslage abhängig. Eine Verletzung in einem Legacy-System, auch wenn sie von Kernoperationen isoliert ist, kann Nutzerdaten kompromittieren. Dies unterstreicht die Bedeutung, zu verstehen, wo Ihre Geheimnisse liegen und wer Zugriff darauf hat. Es zeigt zudem, dass Budgetkontrollen innerhalb eines Drittanbieter-Tools keinen Schutz bieten, wenn das zugrunde liegende Credential gestohlen wird.

Die finanzielle Auswirkung auf einzelne Nutzer illustriert die konkreten Kosten solcher Verletzungen. Mit Berichten über Hunderte oder Tausende Dollar an unbefugter Nutzung ist der Anreiz für Angreifer, KI-Schlüssel zu ernten, klar. Diese Schlüssel sind wertvolle Assets in der Untergrundwirtschaft, die nicht nur für Distillation, sondern auch für allgemeinen Ressourcenklau genutzt werden. Teams müssen KI-API-Schlüssel mit derselben Ernsthaftigkeit behandeln wie Datenbank-Passwörter oder Cloud-Zugangsschlüssel und erkennen, dass eine Offenlegung zu direkter finanzieller Haftung führt.

Was Sie tun können

• Widerrufen Sie sofort alle in OpenCode Console gespeicherten API-Schlüssel über das Dashboard des Anbieters (OpenAI, Anthropic oder Google).
• Generieren Sie neue Schlüssel und aktualisieren Sie alle Anwendungen und Skripte, die auf die alten Zugangsdaten angewiesen waren.
• Überprüfen Sie Abrechnungs- und Nutzungsprotokolle auf Ebene des Anbieters auf jede unbefugte Aktivität seit dem 16. Oktober.
• Implementieren Sie Ausgabenlimits und Warnungen direkt beim KI-Anbieter, um potenzielle Schäden durch zukünftige Lecks zu begrenzen.
• Weisen Sie jedem Tool oder Dienst eindeutige API-Schlüssel zu, um die Nutzung zu isolieren und die Nachverfolgung im Falle einer Kompromittierung zu vereinfachen.
• Erwägen Sie, falls möglich, den Wechsel weg von gehosteter Schlüsselverwaltung und nutzen Sie stattdessen lokale Umgebungsvariablen oder sichere Secret Manager.