OpenCode prijavio incident: provjerite ključeve za AI servise

OpenCode je 17. oktobra prijavio sigurnosni incident koji je, prema kompaniji, pogodio 1,4 odsto korisnika njegovog servisa Console. Riječ je o dijelu korisnika koji su povezali spoljne AI provajdere. Za njih je najvažnije da provjere obavještenje kompanije i pristupne ključeve kod servisa čije modele plaćaju.

Šta je potvrđeno

Kompanija je u dopunjenoj objavi saopštila da je pogođene korisnike obavijestila emailom i da sarađuje sa Anthropicom, OpenAI-jem i Googleom na otklanjanju posljedica. U toj objavi incident je opisan kao povezan sa napadom velikih razmjera radi destilacije modela, odnosno korišćenja odgovora jednog modela za obuku drugog. Nisu objavljeni detalji koji objašnjavaju tu vezu niti identitet napadača.

The Hacker News je 19. oktobra izvijestio da su ključevi spoljnih provajdera sačuvani u Consoleu mogli biti izloženi. To nije isto što i potvrda da je svaki ključ ukraden ili zloupotrijebljen. Pojedinačne prijave neočekivanih računa nisu potvrđen zbir štete.

Console nije isto što i lokalna aplikacija

OpenCode je AI pomoćnik za programiranje, dok Console služi i kao posrednik prema modelima drugih kompanija. Zvanična dokumentacija pokazuje da Console pri prosljeđivanju zahtjeva dodaje pristupni ključ provajdera. Ključ je praktično dozvola za korišćenje usluge na račun vlasnika.

Sama instalacija OpenCodea zato nije dokaz da je nalog pogođen ovim incidentom. Kompanija je obim vezala za dio korisnika Consolea sa povezanim spoljnim provajderima. Broj od 1,4 odsto ne treba primjenjivati na sve korisnike OpenCodea.

Šta korisnik može da uradi

Ako ste dobili upozorenje ili sumnjate da je ključ izložen, provjerite nalog direktno kod provajdera. Anthropicovo zvanično uputstvo preporučuje hitan opoziv sumnjivog ključa, kreiranje novog i bezbjedno čuvanje zamjene. Promjenu treba prenijeti i u aplikacije koje su koristile stari ključ.

Brisanje veze samo u posredničkom alatu nije zamjena za opoziv kod izdavaoca ključa. Za firmu je korisno da zna koji je ključ dodijeljen kom alatu, ko prati potrošnju i ko reaguje na upozorenje. Sljedeći važan podatak biće konačan izvještaj o obimu incidenta, a ne broj reakcija na društvenim mrežama.

Izvori

OpenCode, zvanična dopunjena objava, 17. oktobar 2026.

OpenCode, dokumentacija Providers API, provjereno 19. oktobra

Anthropic, postupak za kompromitovan API ključ, 16. mart 2026.

The Hacker News, izvještaj o incidentu, 19. oktobar 2026.

Za provjerene AI vijesti i praktična upozorenja pridružite se besplatnom AI Balkan članstvu.