OpenCode уведомила некоторых пользователей о том, что ключи API, которые они использовали с внешними поставщиками, были скомпрометированы в результате утечки данных. OpenCode - это независимый от модели агент ИИ для программирования, обеспечивающий взаимодействие с пользователем на естественном языке в части работы с кодом. Проект позволяет подключать модели ИИ различных поставщиков к консоли OpenCode для оптимизации и автоматизации процесса разработки. Инцидент привёл к несанкционированному списанию средств с API и приостановке проектов в Google Cloud. По словам разработчика проекта, утечка данных затронула 1,4% всех пользователей, при этом некоторые из них сообщили о списаниях на сумму более 1700 долл. за ночь. В субботу OpenCode объявила о масштабной атаке с использованием алгоритмов дистилляции, затронувшей пользователей OpenCode Console из числа разработчиков, которые подключали внешних поставщиков, включая Anthropic, OpenAI и Google. Дистилляция - это легитимный метод машинного обучения, который обучает более компактные модели ИИ, используя результаты работы более мощных. Цель состоит в создании более дешевых и быстрых моделей, сохраняющих многие возможности своих более крупных аналогов. Однако метод легко превращается в атаку, когда переходит к масштабному обучению с использованием нелегетимных запросов. По данным OpenCode, злоумышленники атаковали системы компании как минимум 48 часов, используя агентов ИИ. При этом первичное вмешательство OpenCode во вредоносную активность было заблокировано: задействованные модели ИИ начинали отклонять запросы из-за встроенных средств защиты. Ситуацию удалось стабилизировать после того, как OpenCode подключила модель кибербезопасности Daybreak AI от OpenAI для защиты, разрешение на использование которой было получено в субботу. Согласно электронным уведомлениям, поступившим жертвам инцидента, самое раннее возможное раскрытие ключей пользователей произошло 17 октября 2026 года в 00:30 UTC, и, по всей видимости, никаких данных раскрыто не было. В OpenCode также заявили, что работают с Google, OpenAI и Anthropic над разрешением инцидента, а пока не могут предоставить более подробную информацию. По сообщениям пользователей, после утечки закрытых ключей были произведены мошеннические списания средств в размере от нескольких сотен долл. до 1700 долл. В свою очередь, OpenCode по результатам расследования обещает пострадавшим пользователям возместить все убытки.