OpenCode gehackt: API-Schlüssel gestohlen, KI bremst die Abwehr

Bei einem Angriff auf die OpenCode Console wurden API-Schlüssel von 1,4 Prozent der Anwender kompromittiert und für teils vierstellige Ausgaben genutzt. Auch die Abwehr bereitete Probleme: Sicherheitsfilter der eingesetzten KI-Modelle schlugen beim schadhaften Code an und verhinderten anschließend Teile der Analyse.

OpenCode ist ein quelloffener und modellunabhängiger KI-Agent für die Software-Entwicklung, der anhand natürlichsprachlicher Anweisungen Code untersuchen, Funktionen erstellen und Fehler beheben kann. Dafür lassen sich über Terminal, Desktop-App oder Code-Editor Modelle verschiedener Anbieter einbinden, darunter OpenAI, Anthropic und Google.

Nur ein kleiner Teil der Nutzer betroffen

Ziel des Angriffs war nach bisherigen Erkenntnissen nicht die quelloffene OpenCode-Anwendung selbst, sondern ein älteres System der Online-Plattform OpenCode Console, in dem einige Entwickler API-Schlüssel für externe KI-Dienste in Workspaces hinterlegt hatten. Nach Angaben von OpenCode sollen insgesamt 1,4 Prozent der Console-Anwender betroffen sein, die per E-Mail über den Vorfall informiert und dazu aufgefordert wurden, die kompromittierten Schlüssel bei den jeweiligen Anbietern zu widerrufen und zu ersetzen.

Die Betreiber des KI-Agenten stufen den Vorfall als groß angelegten Destillationsangriff ein, haben bislang jedoch weder erklärt, wie die Angreifer in das System eindringen konnten, noch wie die hinterlegten API-Schlüssel gespeichert waren. Kompromittierte Schlüssel könnten zur Modelldestillation dienen, indem über sie große Mengen an Ausgaben leistungsfähiger KI-Modelle erzeugt werden. Insbesondere in Ländern mit eingeschränktem Zugang zu amerikanischen Modellen ließen sich auf diesem Weg die dafür benötigten Daten beschaffen. Kritiker bezweifeln allerdings diese Einordnung: Belegt seien bislang lediglich der Einbruch und der Missbrauch von API-Schlüsseln, nicht deren tatsächlicher Einsatz für eine Destillation.

Angriff parallel zur Einführung eines neuen Modells

Zeitlich überschnitt sich der Einbruch mit der kostenlosen Bereitstellung von GLM-5.3-Flash durch OpenCode. Die übergeordnete GLM-5.3-Familie hat unter Forschern zu Open-Weight-Modellen Aufmerksamkeit auf sich gezogen, da ihre Fähigkeiten im Bereich Cybersicherheit einem Niveau nahekommen sollen, das zuvor eher mit zugangsbeschränkten Modellen wie Anthropics Claude Mythos Preview verbunden wurde. Ein Zusammenhang zwischen der Veröffentlichung und dem Angriff muss daraus jedoch nicht folgen.

Sicherheitsfilter als Problem

Mitgründer Dax Raad erklärte gegenüber TechCrunch, dass API-Schlüssel aus der lokalen OpenCode-Anwendung nicht an das Projekt übertragen würden. Zur Verteidigung setzte OpenCode KI-Agenten ein, die rund um die Uhr gearbeitet hätten; insgesamt soll der Angriff das Team laut Raad mindestens 48 Stunden ohne Unterbrechung beschäftigt haben. Dabei erwiesen sich allerdings die Sicherheitsmechanismen der verwendeten Modelle selbst als Hindernis: Nachdem der zu untersuchende Schadcode deren Filter ausgelöst hatte, verweigerten sie Teile der weiteren Analyse.

Eine Stabilisierung erfolgte erst, als OpenCode im Anschluss Zugang zu OpenAIs Daybreak-Blue-Programm erhielt. Überprüften Teilnehmern stellt es Modelle bereit, deren Schutzmechanismen bei legitimer defensiver Sicherheitsarbeit seltener zu Ablehnungen führen. Dadurch sollen sich die Möglichkeiten des Teams zur Untersuchung des laufenden Angriffs spürbar verbessert haben. Laut einem Bericht von Bleeping Computer nennt OpenCode für die betroffenen API-Schlüssel den 17. Oktober 2026 um 00:30 Uhr UTC als frühestmöglichen Zeitpunkt einer Offenlegung.

Auslösen der Sicherheitsvorkehrungen nicht neu

Ein ähnliches Problem hatte zuvor bereits Hugging Face beschrieben. Die KI-Plattform berichtete im Juli, dass kommerzielle Modelle bei der Untersuchung eines Eindringens autonomer KI-Agenten die Auswertung von Aktivitätsprotokollen verweigert hätten. OpenAI erklärte später, bei den Angreifern habe es sich um eigene Modelle gehandelt, die während eines Tests mit reduzierten Schutzmechanismen betrieben worden seien. Hugging Face bezeichnete die daraus resultierende Situation als „Asymmetrieproblem“, bei dem Schutzmechanismen nicht zuverlässig zwischen legitimer Incident Response und einem Angreifer unterscheiden könnten. Auch Sicherheitsforscher kritisierten diese Einschränkungen als inkonsistent. Ein Teil greift deshalb auf ausländische Open-Weight-Modelle zurück, die sich herunterladen und ohne vergleichbare Zugriffsbeschränkungen auf eigener Infrastruktur betreiben lassen.

Hohe Rechnungen

Für einige Betroffene hatte der Angriff zudem unmittelbare finanzielle Folgen. Entwickler berichteten auf Reddit und X von gleichzeitig ausgelösten Ausgabenwarnungen bei OpenAI, Anthropic und Google AI. Auf einzelnen Konten entstanden unautorisierte Kosten von mehreren Hundert US-Dollar. Teilweise wurden Beträge von mehr als 1.700 US-Dollar genannt, die innerhalb einer einzigen Nacht angefallen waren. Anthropic und Google sperrten daraufhin API-Schlüssel, die sie als kompromittiert einstuften. OpenAI arbeitete nach eigenen Angaben mit OpenCode zusammen, um den Zugang wiederherzustellen und seinen API-Kunden das durch den Angriff verbrauchte Guthaben zu erstatten. Auch OpenCode erklärte, dass Erstattungen für unautorisierte Kosten bereits angelaufen seien.

Ähnliche Vorfälle häufen sich

Der Angriff auf OpenCode ist kein isolierter Vorfall. Das US-amerikanische Cyber-Sicherheitsunternehmen CrowdStrike berichtete Anfang des Monats, dass ein mutmaßlich aus China operierender Angreifer bei Attacken auf südkoreanische Banken wahrscheinlich einen KI-Agenten für Penetrationstests sowie Claude eingesetzt habe. In der vergangenen Woche warnte zudem Indiens Cyber-Sicherheitsbehörde davor, dass KI-Agenten ohne Autorisierung in Systeme indischer Organisationen gelangt seien, darunter auch von KI-Unternehmen getestete Systeme.