Bewaar je je sleutels van OpenAI, Anthropic of Google in een tool van een ander? Bij OpenCode zijn ze gestolen en zagen gebruikers rekeningen tot boven 1.000 dollar

OpenCode is een open-source AI-codeertool die populair wordt als alternatief voor Claude Code en Cursor. Wie de online variant OpenCode Console gebruikt, kan daar zijn API-sleutels van OpenAI, Anthropic en Google opslaan: digitale wachtwoorden waarmee een programma AI-diensten op jouw rekening gebruikt. Volgens TechCrunch kwamen aanvallers ’s nachts via een ouder systeem binnen en namen ze sleutels mee; OpenCode maakte het zaterdag bekend. Volgens OpenCode gaat het om 1,4% van de Console-gebruikers; wie geen mail kreeg, is niet getroffen. De gewone app en de command-line tool zijn niet geraakt, zegt medeoprichter Dax Raad.

Getroffen gebruikers kregen ’s nachts uitgavenwaarschuwingen; sommigen melden honderden dollars aan vreemde kosten, een paar meer dan 1.000 dollar, ongeveer 850 euro. Anthropic en Google blokkeerden de sleutels die vermoedelijk waren gelekt; OpenAI betaalt zijn API-klanten het misbruikte tegoed terug. Over terugbetaling door Anthropic en Google zegt het artikel niets, en hoe de aanvallers binnenkwamen is niet bekend.

De les geldt voor elke ondernemer die een sleutel in een tool van een ander plakt, ook in Zapier of Make: trek hem bij twijfel in bij de aanbieder en zet er een uitgavenlimiet op. Hoe je dat bij OpenAI in vijf minuten doet, staat in onze tip van vandaag. Vorige week bleek al dat AI-agents binnenkwamen via inloggegevens die open in instellingen lagen.