Proboj OpenCodea: zašto svaka mala firma koja koristi AI alate treba zamijeniti API ključeve
OpenCode, popularni open-source AI agent za programiranje, potvrdio je u noći 16./17. listopada 2026. proboj starog sustava iza svoje hostane konzole (Console). Možda su izloženi ključevi AI providera (npr. OpenAI i Anthropic) koje je ondje spremilo oko 1,4 % korisnika konzole, a neki korisnici prijavljuju troškove koje nisu napravili. Pouka vrijedi daleko šire od jednog alata: svaki AI ključ koji zalijepite u tuđi servis siguran je samo koliko i taj servis.
Što se dogodilo
OpenCode je 17. listopada 2026. na X-u objavio da je „prošle noći imao sigurnosni proboj povezan s velikim distilacijskim napadom koji je pogodio 1,4 % korisnika OpenCode Consolea” te da je svima pogođenima poslao e-mail. Prema tom e-mailu, kako su ga primatelji javno podijelili, neovlaštena osoba pristupila je starom sustavu koji je tvrtka već gasila, a ključevi providera trećih strana spremljeni u korisničkim radnim prostorima možda su izloženi.
OpenCode navodi da aplikacija koja radi na vašem računalu ključeve čuva lokalno; problem se odnosi na ključeve koje su korisnici sami spremili u hostanu konzolu. Anthropic je naveo da je opozvao Claude API ključeve za koje smatra da su pogođeni, a OpenCode kaže da surađuje s Anthropicom, OpenAI-jem i Googleom. Još nije objasnio kako su napadači ušli, kako su ključevi bili pohranjeni ni koliko ih je zlorabljeno. Dio pogođenih korisnika prijavljuje neočekivane troškove; to su njihove vlastite tvrdnje, neovisno nisu potvrđene.
Što to znači za vašu firmu
- Vaš AI račun sada je meta napada. Ukradeni API ključ u praksi je službena kreditna kartica. Kod svakog AI providera kojeg koristite (OpenAI, Anthropic, Google i drugi) postavite čvrst mjesečni limit potrošnje i upozorenja, a automatsku nadoplatu isključite gdje vam ne treba.
- Jedan ključ po alatu, ne jedan ključ za sve. Ako chatbot na webu, marketinška automatizacija i alat vašeg programera dijele isti ključ, jedno curenje ruši sve, a ne znate koji je alat procurio. Odvojeni ključevi znače popravak od pet minuta.
- Znajte gdje su vam ključevi. Napravite kratak popis: koji alati, dodaci i agencije drže vaše AI ključeve? Ključeve opozovite u sučelju samog providera (ne unutar alata treće strane), izdajte nove, ažurirajte alate i provjerite potrošnju od 16. listopada nadalje. E-mailove o „proboju” s poveznicama tretirajte kao mogući phishing i u svako sučelje uđite izravno.
Brza provjera u 2 točke
Niste sigurni koliko je vaša stranica izložena ili što AI asistenti i tražilice na njoj vide? Pošaljite mi link. U roku od 24 sata dobivate jedan nalaz o stranici, jedan o vidljivosti na Googleu i u AI pretrazi te preporučeni sljedeći korak. Za male firme i obrte, bez obveze.
Tjedni AI pregled za male firme
Jednom tjedno: AI vijesti i što znače za vašu firmu ili obrt.
Podijeli vijest
Izvori
- Cyera Research: OpenCode Breach: What Happened and How to Rotate Exposed AI API Keys (na engleskom)
- VibeIncidents: OpenCode provider key exposure, October 2026 (na engleskom)