Anomaly Innovations, die Firma hinter dem Terminal-Coding-Agenten OpenCode, hat am Samstag einen Einbruch bestätigt. Betroffen sind nach Firmenangaben 1,4 Prozent der Nutzer der OpenCode Console, und zwar die, die dort Schlüssel für externe Anbieter hinterlegt hatten: Anthropic, OpenAI und Google.
In der Mail an die Betroffenen steht, jemand habe unbefugt auf ein Altsystem zugegriffen, das gerade abgeschaltet wird. Die im Workspace gespeicherten Anbieter-Keys könnten dabei offengelegen haben. Die Firma führt den Vorfall auf einen großangelegten Distillation-Angriff zurück, also auf das Absammeln von Modellantworten, um damit ein eigenes Modell zu trainieren. Wer keine Mail bekommen hat, ist nach Firmenangaben nicht betroffen. Der Fall läuft noch, Anomaly Innovations arbeitet dabei mit Anthropic, OpenAI und Google zusammen.
Die Rechnungen kamen vor der Warnung
In einem Reddit-Thread und auf X berichten Betroffene von Abrechnungen, die sie nicht veranlasst haben. Ein Nutzer nennt 400 Dollar auf seinem Anthropic-Konto, ein anderer rund 200 Euro Google-Nutzung samt gesperrtem Projekt wegen übermäßigen Missbrauchs. Einer schreibt, die Nutzungsalarme von OpenAI und Anthropic seien bei ihm angekommen, bevor OpenCode überhaupt gewarnt hat. Dazu kamen abgelaufene OpenCode-Keys und Anmeldungen über Google oder GitHub, die mit „Unable to start social login“ abbrachen.
Die Firma schreibt, sie könne nicht bestätigen, ob die offengelegten Schlüssel tatsächlich benutzt wurden. Bis dato habe man keine Hinweise gefunden, dass weitere Daten abgeflossen sind. Mitgründer Dax Raad soll gesagt haben, auch seine persönlichen Konten würden angegriffen.
Der Agent läuft mit deinen Zugangsdaten
OpenCode ist kein Chatbot, sondern ein Agent im Terminal, der mit den eigenen Zugangsdaten des Entwicklers arbeitet: Er liest Dateien, ruft fremde APIs auf und führt Befehle aus. Die Anbieter-Keys sind dort nicht bequem, sondern nötig. Ohne sie tut das Werkzeug nichts. Die Dokumentation der Firma sagt selbst, dass der Agent nicht in einer Sandbox läuft und die Berechtigungsabfragen ein Bedienmerkmal sind, keine Sicherheitsgrenze; wer den Agenten wirklich einsperren will, soll Docker oder eine VM nehmen. Über die Desktop-App von OpenCode habe ich hier schon geschrieben.
Nicht dein Rechner war das Leck
Das Unangenehme an diesem Fall ist der Ort. Der Schlüssel ist nicht über den eigenen Rechner abgeflossen, sondern aus einem System, von dem die Nutzer nicht wussten, dass es noch läuft. Dagegen hilft keine Vorsicht im Terminal, und auch kein sauber gesetztes Berechtigungsmodell.
Was hilft, ist die Annahme, dass jeder Schlüssel, den du irgendwo hinterlegst, irgendwann offenliegt: ein eigener Key je Werkzeug, eine Ausgabengrenze in der Claude Console, und einmal in die Nutzung schauen, bevor abgerechnet wird. Wer OpenCode mit Anthropic-Keys benutzt hat, sollte sie jetzt widerrufen und ersetzen, die Anwendungen nachziehen und die letzten Tage in der Nutzung durchsehen.