OpenCode, un agent de codage d’IA open-source qui gagne en popularité parmi les développeurs en tant que alternative à Claude Code et Cursor, a déclaré samedi qu’un attaquant avait pénétré dans un système ancien pendant la nuit, affectant 1,4 % des utilisateurs de sa plateforme en ligne, OpenCode Console, où certains utilisateurs stockent les clés API ou les mots de passe numériques qu’ils utilisent pour accéder aux services d’IA.
Comme l’équipe OpenCode avait du mal à suivre le rythme des attaques, la course contre la montre pour réagir a mis en évidence un problème croissant : les entreprises ne disposant pas d’un accès vérifié aux modèles d’IA avec moins de restrictions de sécurité ont des difficultés à se défendre contre des attaques cyber à grande échelle menées par l’IA.
« Hier soir, nous avons subi une violation de sécurité liée à une attaque de distillation à grande échelle qui a affecté 1,4 % des utilisateurs de OpenCode Console », a écrit l’entreprise sur X. « Nous les avons informés par e-mail ce matin. » L’entreprise a indiqué que les utilisateurs qui n’ont pas reçu d’e-mail n’ont pas été affectés.
Alors que l’entreprise n’a pas indiqué comment l’attaque de distillation s’est produite, les clés API divulguées peuvent aider les utilisateurs dans des pays ayant un accès limité aux modèles américains à générer le volume important de sorties nécessaire pour ce processus. Certains skeptiques ont qualifié cette approche de surinterprétation, affirmant que l’incident était une violation simple dont l’utilisation pour la distillation n’a pas été prouvée.
Pendant la nuit, les développeurs ont commencé à publier des alertes sur les dépenses et des charges non autorisées sur Reddit et X.J’ai vu mon Open AI, Anthropic et Google AI envoyer des alertes en plein jour, se demandant ce qui se passait avant de se coucher.“, un développeur écrivit.
D’autres utilisateurs ont rapporté des frais de plusieurs centaines de dollars sur des comptes individuels ; quelques-uns ont indiqué des montants totales supérieurs à 1 000 $.
Anthropic et Google ont bloqué les clés API qu’ils pensaient avoir été exposées, tandis que OpenAI a déclaré travailler avec OpenCode pour restaurer l’accès et rembourser aux clients API les crédits utilisés dans l’attaque. OpenCode a indiqué que le remboursement pour les charges non autorisées est en cours.
Les clés exposées étaient limitées à la Console, où certains utilisateurs les avaient dans leurs espaces de travail. Selon le co-fondateur Dax Raad, l’application open-source et l’outil ligne de commande n’ont pas été affectés. « Notez que c’est la Console OpenCode, pas OpenCode en soi ; ces clés ne nous arrivent jamais », a-t-il écrit sur X.
Même lorsque les utilisateurs et les entreprises de IA ont cherché à désactiver les touches exposées, l’équipe OpenCode était toujours sous pression. Raad a déclaré que les attaquants avaient tenté de pénétrer dans ses systèmes pendant 48 heures, ce qui a nécessité à l’équipe de maintenir les agents de défense de l’IA en fonction 24 heures sur 24. Les modèles d’IA à laquelle l’équipe OpenCode se tournait pour l’analyse ont aidé pendant un certain temps, mais ont commencé à refuser de fonctionner lorsque le code malveillant qu’ils devaient examiner a activé les filtres de sécurité.
“[T]c’était un peu frustrant,” il a écrit sur X.
OpenCode a plus tard obtenu accès au programme Daybreak Blue de OpenAI, qui offre aux utilisateurs vérifiés des modèles d’IA moins susceptibles de refuser les demandes liées aux travaux de sécurité défensive. Raad a déclaré que cet accès a amélioré la capacité de l’équipe à enquêter sur l’attaque.
OpenCode n’est pas la première entreprise à rencontrer ce problème. En juillet, la plateforme d’IA Hugging Face a déclaré que les modèles d’IA commerciaux bloquaient ses tentatives d’analyser les logs d’activité liés à une intrusion par des agents d’IA autonomes, ce que OpenAI a ensuite révélé : il s’agissait de ses propres modèles fonctionnant avec des mesures de protection réduites lors d’un test. Dans une section de son article de blog intitulée « Le problème d’asymétrie », Hugging Face a écrit que ces mesures de protection « ne peuvent pas distinguer un répondant à l’incident d’un attaquant ».
Les chercheurs en sécurité ont faites des plaintes similaires, affirmant que ces restrictions sont incohérentes et ont poussé certains vers des modèles ouverts, que n’importe qui peut télécharger et exécuter.
L’épisode du week-end a suscité une réponse de David Sacks, coprésident du Conseil des conseillers présidentiels en science et technologie.
OpenCode (et Hugging Face antérieur) a rencontré le même obstacle au milieu de l’attaque : les modèles frontières refusaient d’analyser les techniques nécessaires à la défense, car les payloads brisaient les filtres de sécurité. Les barrières de protection ont eu l’effet inverse, a écrit David Sacks sur X.
La violation s’est produite la même nuit où OpenCode a libéré GLM-5.3-Flash pour les utilisateurs. La famille plus large de GLM-5.3 a attiré l’attention des chercheurs qui étudient les modèles ouverts, et on note que ses capacités de cybersécurité ont atteint des niveaux similaires à ceux des modèles restreints comme le Claude Mythos Preview d’Anthropic.
OpenCode n’a pas détaillé comment les attaquants ont accédé au système ancien, comment les clés ont été stockées, ou l’étendue totale de toute utilisation abusive. L’entreprise a demandé aux utilisateurs concernés de retirer et de remplacer leurs clés directement auprès de chaque fournisseur. L’entreprise a indiqué que l’incident se poursuit.
La violation survient au cours d’une série de incidents cyber pilotés par l’IA. Au début du mois, la société de cybersécurité CrowdStrike a déclaré que un hacker basé en Chine aurait utilisé un agent de test d’intrusion par l’IA, qui vérifie les faiblesses des systèmes informatiques, pour attaquer les banques sud-coréennes. La semaine dernière, l’agence de cybersécurité indienne a averti que des agents de l’IA, y compris certains testés par les entreprises de l’IA, avaient accédé aux systèmes des organisations indiennes sans autorisation.