# Злам OpenCode Console: у деяких користувачів списання понад $1000 > OpenCode підтвердила злам Console: 1,4% користувачів, кілька з них бачать списання понад $1000. Застосунок і CLI не постраждали, ключі варто перевипустити. - Опубліковано: 20 жовтня 2026 р. (2026-10-19T21:44:18.897839+00:00) - Розділ: Безпека AI - На основі публікації: [TechCrunch](https://techcrunch.com/2026/10/19/hackers-hit-ai-coding-tool-opencode-running-up-charges-on-users-ai-accounts/) - Видання: AiiN (https://aiin.news) - URL: https://aiin.news/article?slug=%D0%B7%D0%BB%D0%B0%D0%BC-opencode-console-%D1%83-%D0%B4%D0%B5%D1%8F%D0%BA%D0%B8%D1%85-%D0%BA%D0%BE%D1%80%D0%B8%D1%81%D1%82%D1%83%D0%B2%D0%B0%D1%87%D1%96%D0%B2-%D1%81%D0%BF%D0%B8%D1%81%D0%B0%D0%BD%D0%BD%D1%8F-%D0%BF%D0%BE%D0%BD%D0%B0%D0%B4-1000 --- OpenCode, open-source AI-агент для кодування, у суботу підтвердила злам старої системи: постраждало 1,4% користувачів Console, деякі повідомляють про списання понад $1000. Застосунок із відкритим кодом і командний інструмент не зачепили, але ключі, які частина користувачів зберігала в workspace у Console, виявилися викритими. Один розробник побачив це за алертами витрат в OpenAI, Anthropic і Google ще перед сном. Лист від OpenCode прийшов лише зранку. ## Що саме зламали і кого це зачепило? Зловмисники проникли в стару систему OpenCode Console, онлайн-платформу, де частина користувачів зберігає API-ключі до AI-сервісів. Постраждали **1,4%** користувачів, [за даними TechCrunch](https://techcrunch.com/2026/10/19/hackers-hit-ai-coding-tool-opencode-running-up-charges-on-users-ai-accounts/). Компанія написала в X, що всіх постраждалих уже повідомила листом; хто листа не отримав, того інцидент не торкнувся. Співзасновник Dax Raad окреслив межу: «Це OpenCode Console, а не сам OpenCode, ті ключі до нас не потрапляють». [За даними Digital Today](https://www.digitaltoday.co.kr/en/view/116601/hackers-attack-open-codes-ai-coding-tool-open-source-charging-users-ai-accounts-without-permission), атаку було спрямовано на open source інструмент, але, за словами Raad, застосунок і CLI не постраждали. Як зловмисники потрапили в стару систему і як там зберігалися ключі, OpenCode не розкрила. ## Скільки втратили користувачі і хто повертає гроші? Користувачі писали на Reddit і в X про списання в сотні доларів на окремих акаунтах, а кілька людей назвали суми понад **$1000**. Повного обсягу шкоди OpenCode не оприлюднила. Провайдери відреагували по-різному. Anthropic і Google заблокували ключі, які вважали викритими. OpenAI разом з OpenCode відновила доступ і повертає API-клієнтам кредити, витрачені під час атаки. OpenCode каже, що повернення несанкціонованих списань уже тривають. Сама компанія назвала інцидент масштабною distillation-атакою, але механізму не пояснила. TechCrunch зазначає, що викриті ключі можуть допомогти користувачам із країн з обмеженим доступом до американських моделей генерувати великі обсяги відповідей для такого процесу. Частина скептиків вважає, що це звичайний злам, а докази використання для distillation поки немає. ## Чому команда OpenCode застрягла посеред розслідування? Команда застрягла, бо AI-моделі, до яких вона звернулася за аналізом шкідливого коду, спершу допомагали, а потім почали відмовляти, коли код спрацьовував їхні захисні фільтри. За словами Raad, зловмисники безперервно намагалися проникнути в системи 48 годин, тож команда тримала AI-агентів для захисту ввімкненими цілодобово. Відмови він назвав дещо прикрими. Згодом OpenCode отримала доступ до програми Daybreak Blue від OpenAI: вона дає перевіреним користувачам моделі, які рідше відмовляють у запитах на захисну безпеку. За словами Raad, це покращило розслідування. У липні схожа ситуація була в Hugging Face: комерційні моделі відмовилися аналізувати логи вторгнення автономних AI-агентів. Як згодом повідомила OpenAI, це були її власні моделі з послабленими запобіжниками під час тесту. У розділі «The asymmetry problem» Hugging Face написала, що запобіжники «не можуть відрізнити фахівця з реагування на інциденти від зловмисника». Девід Сакс, співголова Ради радників президента з науки і технологій, написав, що запобіжники дали зворотний ефект. ## Що перевірити, якщо ви користувалися Console? Відкличте ключі в кожного провайдера і перевипустіть нові: саме так радить OpenCode. - Перегляньте пошту: OpenCode розіслала листи всім постраждалим, а без листа, за словами компанії, вас не зачепило. - Перегляньте витрати в OpenAI, Anthropic, Google та інших провайдерів, ключі яких лежали в Console, за останні дні. - Зафіксуйте суму несанкціонованих списань окремо по кожному провайдеру: OpenCode повертає такі списання, а OpenAI повертає кредити API-клієнтам. - Якщо ви користуєтеся лише застосунком із відкритим кодом або CLI без Console, за словами Raad, вони не постраждали. Компанія називає інцидент таким, що триває, тож перелік постраждалих і обсяг витрат можуть змінитися. --- Теги: AI, OpenCode, кібербезпека, APIключі, AIагенти, SecurityAI Джерело: AiiN — https://aiin.news/article?slug=%D0%B7%D0%BB%D0%B0%D0%BC-opencode-console-%D1%83-%D0%B4%D0%B5%D1%8F%D0%BA%D0%B8%D1%85-%D0%BA%D0%BE%D1%80%D0%B8%D1%81%D1%82%D1%83%D0%B2%D0%B0%D1%87%D1%96%D0%B2-%D1%81%D0%BF%D0%B8%D1%81%D0%B0%D0%BD%D0%BD%D1%8F-%D0%BF%D0%BE%D0%BD%D0%B0%D0%B4-1000. Цитуючи, посилайтесь на канонічний URL.