OpenCode je open-source AI agent pro programování, který si vývojáři propojují s vlastními klíči od OpenAI, Anthropicu, Google a desítek dalších poskytovatelů modelů — v jednom terminálovém nástroji s přes 150 tisíci hvězdičkami na GitHubu. V noci na 18. října firma přes X a e-mailem oznámila, že průnikem do odstavovaného interního systému unikly přesně tyhle propojené klíče u 1,4 % uživatelů OpenCode Console. Pro firmu, která jakémukoli nástroji svěří klíč k placenému AI účtu, je to konkrétní ukázka rizika, které se dřív řešilo jen teoreticky: jeden prolomený prostředník stačí k tomu, aby útočník dosáhl na účty u tří různých poskytovatelů najednou.
Co se stalo
- Zdroje. OpenCode zveřejnilo oznámení na svém účtu @opencode na X 17.–18. října a stejný text rozeslalo postiženým uživatelům e-mailem. Přesné znění citují dva na sobě nezávislé zdroje shodně — bezpečnostní firma StepSecurity a redakce OfficeChai, která navíc citovala i doplňující tweet spoluzakladatele OpenCode Daxe Raada. Samotný incident OpenCode do uzávěrky tohoto textu nezveřejnil formou podrobného postmortemu, jen krátkým prohlášením.
- Co OpenCode přesně napsalo. Doslovná citace z oznámení: „We had a security breach last night related to a large scale distillation attack that impacted 1.4% of OpenCode Console users. We have notified them all this morning via email. The incident is ongoing so we cannot share more details at this point but we are working with Anthropic, OpenAI, and Google to remediate." Firma dodala, že komu e-mail nedorazil, toho se incident netýkal.
- Odkud únik pocházel. Podle OfficeChai OpenCode v oznámení uvedlo, že šlo o „unauthorized access to a legacy system" — starší interní systém, který byl právě v procesu odstavování. Přes něj mohly uniknout „third party provider keys (eg OpenAI, Anthropic) saved in your workspace".
- Proč firma použila slovo „distilační". OpenCode incident popsalo jako „large scale distillation attack". V AI bezpečnosti se tím myslí zneužití cizího placeného přístupu k masovému dotazování cizího modelu, aby se z jeho odpovědí natrénoval konkurenční model — bez svolení provozovatele. Jde o stejný typ útoku, proti kterému Anthropic v posledních měsících výrazně posiloval vlastní obranu, a který OpenAI popsalo u samostatné kampaně napojené na Moonshot AI.
- Postižený rozsah. Zasaženi byli jen uživatelé OpenCode Console (hostovaný dashboard pro správu účtu a propojených klíčů), a jen ta podmnožina z nich, která si propojila externího poskytovatele modelu. Ne každý, kdo má nainstalovaný samotný OpenCode CLI, byl automaticky dotčen.
- Co firma neřekla. OpenCode k datu psaní nezveřejnilo kořenovou příčinu ani přesně to, jaká data útočník z propojených účtů stáhl. Oznámení i o pět dní později zůstává u formulace „the incident is ongoing".
Proč se to týká i vás
Málokterá česká firma používá přímo OpenCode, ale princip, který odhalil, má s BYOK nástroji (bring-your-own-key) společný skoro každý.
První: propojením víc poskytovatelů do jednoho nástroje vzniká jeden bod, jehož prolomení stojí za víc než součet jednotlivých klíčů. Kdyby měl vývojář klíče k OpenAI, Anthropicu a Google jen ve třech oddělených prostředích, průnik do jednoho z nich by odhalil jeden klíč. Protože je měl propojené v jednom Console účtu, jeden legacy systém stačil k tomu, aby byly v ohrožení potenciálně všechny tři najednou.
Druhé: „distilační útok" u vás nemusí vypadat jako krádež dat, ale jako neočekávaný účet za AI. Pokud útočník použije ukradený klíč k masovému dotazování modelu, první signál, který uvidíte, bývá vyúčtování, ne narušení bezpečnosti. Firmy, které svým vývojářům platí AI nástroje na firemní karty, by měly vědět, že nárůst spotřeby bez vysvětlení je důvod k okamžité kontrole, ne k odložení na konec měsíce.
Třetí: dodavatelovo „pracujeme na tom s poskytovateli" neznamená, že je problém u vás vyřešený. OpenCode spolupracuje s Anthropicem, OpenAI a Google na nápravě — to řeší stranu poskytovatelů modelu. Jestli váš vlastní klíč unikl a co s ním útočník mezitím udělal, musíte zjistit a ošetřit vy sami, u vlastního účtu.
Co s tím
- Zjistěte, kde ve firmě vůbec běží nástroje typu BYOK. Pokud dovolujete vývojářům propojovat vlastní nebo firemní API klíče do nástrojů třetích stran (coding agenti, automatizační platformy, no-code AI builder), udělejte si jejich seznam. Bez něj nevíte, kam se máte dívat, až příští takový nástroj ohlásí únik.
- U každého propojeného klíče nastavte limit výdajů a upozornění na anomální spotřebu. Limit u poskytovatele (OpenAI, Anthropic, Google) omezí škodu, i když se klíč ukáže jako unikl dřív, než to zjistíte vy.
- Klíče propojené s jakýmkoli nástrojem, který měl v poslední době bezpečnostní incident, rotujte bez čekání na potvrzení, že jste byli zasažení. OpenCode sice tvrdí, že notifikovalo každého postiženého e-mailem — ale rotace klíče je levnější než čekání na to, že se firma nespletla.
- Neslučujte klíče k víc poskytovatelům do jednoho nástroje, pokud k tomu nemáte konkrétní důvod. Výhoda „jeden terminál pro všechny modely" je reálná, ale má cenu v podobě jednoho bodu, jehož prolomení ohrožuje všechny propojené účty najednou. U citlivějších projektů zvažte oddělené prostředí i za cenu nižšího pohodlí.
A proti vlastnímu byznysu: pokud ve firmě AI nástroje používáte jen přes jejich vlastní webové rozhraní a nikam do nich nevkládáte firemní API klíče, tenhle konkrétní scénář se vás nedotýká. Riziko vzniká až tam, kde klíč s reálnou platební historií leží uložený v cizí aplikaci — ne při běžném používání chatbota v prohlížeči.
Kde to řeším s klienty
Inventura toho, kam všude ve firmě unikají firemní API klíče přes nástroje třetích stran, je přesně to, co kontroluji v rámci AI Agent Governance Checkupu. Pokud nevíte jistě, kolik propojených klíčů k AI službám máte aktuálně ve firmě v oběhu, začněte AI Risk Scanem zdarma. K podobnému tématu exponovaných přístupových údajů jsme psali i v článku o exponovaném klíči, který vláda nejdřív označila za „entirely normal".