Dans cet article Dans cet article
- Une intrusion dans la console d’OpenCode, pas dans son logiciel
- Des centaines de dollars en une nuit
- Les gestes à faire si votre clé était dans la console
- Trois fournisseurs, trois façons de plafonner la note
- Quand les garde-fous des IA freinent aussi la défense
- Confier ses clés, c’est confier sa carte bancaire
Des alertes de dépense qui se déclenchent en pleine nuit chez OpenAI, Anthropic et Google, puis des factures de plusieurs centaines de dollars pour des requêtes que personne n’a lancées. C’est ce qu’ont découvert des développeurs le 17 octobre 2026, jour où OpenCode a reconnu qu’un tiers avait pénétré un ancien système de sa console en ligne. OpenCode est un agent de programmation open source, très utilisé pour faire écrire et corriger du code par des modèles d’IA depuis un terminal.
Le cœur du problème tient en une notion simple. Une clé d’API est un identifiant qui ouvre l’accès payant à un modèle d’IA : celui qui la détient fait travailler le modèle, et son propriétaire paie la note. Avec la multiplication des agents qui enchaînent seuls des milliers de requêtes, ces clés circulent dans un nombre croissant d’outils tiers. Qui doit payer quand l’un de ces outils se fait dérober les clés de ses utilisateurs ?
Une intrusion dans la console d’OpenCode, pas dans son logiciel
D’après TechCrunch, l’attaque a touché 1,4 % des utilisateurs d’OpenCode Console, la plateforme hébergée où certains enregistrent les clés de leurs fournisseurs d’IA pour les partager au sein d’une équipe. L’entreprise a prévenu les comptes concernés par e-mail le matin même et assure que ceux qui n’ont rien reçu ne sont pas touchés.
Le cofondateur Dax Raad a tenu à circonscrire l’incident. L’application open source et l’outil en ligne de commande, que la majorité installe sur sa machine, ne transmettent jamais les clés aux serveurs d’OpenCode et ne sont donc pas en cause.
Il s’agit de la console OpenCode, pas d’OpenCode lui-même : ces clés-là ne nous parviennent jamais.
Dax Raad, cofondateur d’OpenCode, dans un message publié sur X le 17 octobre 2026, quelques heures après l’annonce de l’incident
La distinction rassure les utilisateurs du logiciel local, beaucoup moins ceux qui avaient choisi la console pour sa commodité. Pour eux, les dégâts se mesurent déjà en dollars, et le mécanisme de facturation explique la vitesse à laquelle la note a grimpé.
Des centaines de dollars en une nuit
Les témoignages relayés par TechCrunch font état de débits de plusieurs centaines de dollars, et de plus de 1 000 dollars pour quelques comptes. Un développeur raconte avoir vu ses alertes de dépense OpenAI, Anthropic et Google se déclencher toutes avant d’aller se coucher. Ces API sont facturées au jeton, l’unité de texte traitée par le modèle, et un script malveillant peut en consommer des millions en quelques heures.
OpenCode parle d’une attaque de distillation à grande échelle, une technique qui consiste à récolter massivement les réponses d’un modèle puissant pour entraîner un modèle concurrent à moindre coût. TechCrunch souligne que cette lecture n’est pas démontrée et que des sceptiques y voient une intrusion classique. Pour la victime, le motif change peu de chose : la consommation reste imputée à son compte tant qu’elle n’est pas contestée.
Les fournisseurs ont réagi en ordre dispersé. Anthropic et Google ont bloqué les clés qu’ils jugeaient exposées, tandis qu’OpenAI a indiqué rembourser les crédits consommés pendant l’attaque. OpenCode affirme de son côté que les remboursements des usages non autorisés sont en cours, sans en préciser le calendrier ni le montant total.
Les gestes à faire si votre clé était dans la console
Changer son mot de passe OpenCode ne sert à rien ici, car une clé exposée reste valable tant que le fournisseur ne l’a pas révoquée. Les consignes publiées par l’entreprise et reprises par plusieurs éditeurs de sécurité se résument en quelques étapes :
- révoquer chaque clé enregistrée dans la console directement chez OpenAI, Anthropic ou Google, puis en générer une nouvelle ;
- parcourir les tableaux de facturation et les journaux d’usage à la recherche de pics ou de requêtes inconnues depuis la mi-octobre ;
- signaler toute consommation frauduleuse au fournisseur et à OpenCode pour entrer dans le circuit de remboursement ;
- activer des alertes de dépense et, surtout, un plafond qui coupe réellement les requêtes.
Le dernier point est le plus négligé. Une alerte prévient, un plafond empêche la facture de s’emballer, et les trois grands fournisseurs n’offrent pas la même protection.
Trois fournisseurs, trois façons de plafonner la note
En croisant la documentation d’OpenAI et d’Anthropic avec l’annonce faite par Google en mars 2026, on mesure ce qui aurait limité les dégâts pour un compte laissé avec ses réglages par défaut :
| Fournisseur | Plafond par défaut | Plafond personnel | Limite connue |
|---|---|---|---|
| OpenAI | Limite mensuelle liée au niveau d’usage du compte | Plafond strict optionnel, par organisation ou par projet | Application non instantanée, la dépense peut légèrement dépasser |
| Anthropic | 500, 1 000 ou 200 000 dollars par mois selon le niveau | Limite libre sous ce plafond, réglable aussi par espace de travail | Aucune limite propre possible sur l’espace de travail par défaut |
| Plafond par niveau, sur tout le compte de facturation | Plafond mensuel par projet dans AI Studio depuis mars 2026 | Environ dix minutes de délai, dépassement à la charge de l’utilisateur |
Le constat est sévère pour les réglages d’usine. Chez OpenAI, la documentation précise que les alertes de dépense n’imposent aucun plafond tant que l’option de limite stricte n’est pas cochée, et chez Anthropic, un compte au niveau Start peut consommer jusqu’à 500 dollars par mois avant d’être bloqué.
Google n’a ajouté ses plafonds par projet qu’en mars 2026, après des mois de plaintes de développeurs, et prévient qu’une dizaine de minutes peuvent s’écouler avant le blocage. Sur une attaque automatisée, ce délai suffit à faire grimper la facture.
Quand les garde-fous des IA freinent aussi la défense
L’enquête d’OpenCode a buté sur un obstacle inattendu. Selon Dax Raad, les modèles utilisés pour analyser le code malveillant ont cessé de répondre dès que leurs filtres de sécurité se sont déclenchés, ce qu’il a jugé un peu frustrant. L’équipe n’a avancé qu’après avoir obtenu l’accès à Daybreak Blue, le programme d’OpenAI qui fournit à des défenseurs vérifiés des modèles moins enclins à refuser ce type de travail.
David Sacks, coprésident du conseil scientifique et technologique de la Maison-Blanche, a résumé l’épisode d’une formule sur X : les garde-fous se sont retournés contre leur objet. Le débat dépasse OpenCode, puisque les mêmes protections qui bloquent un attaquant ralentissent l’équipe qui répare, et l’accès privilégié reste réservé aux structures que les laboratoires acceptent de vérifier.
Confier ses clés, c’est confier sa carte bancaire
L’incident rappelle une réalité que la commodité fait oublier : une clé d’API stockée chez un tiers vaut un moyen de paiement confié à ce tiers. Le réflexe est le même que celui qu’imposait déjà la préversion du launcher d’Epic codé par IA, où la prudence consistait à retirer ses moyens de paiement d’un logiciel encore instable.
La question va se poser plus souvent à mesure que l’IA passe du forfait à la facturation au jeton et que les agents disposent de budgets propres. L’affaire de l’agent d’OpenAI qui a puisé dans un portefeuille crypto montrait déjà que l’argent dépensé par une machine se conteste difficilement après coup.
Reste à savoir qui assumera durablement ce risque. OpenAI rembourse cette fois, mais aucune règle n’oblige un fournisseur à le faire, et le plafond de dépense reste le seul filet que l’utilisateur contrôle entièrement, à condition de l’avoir réglé avant la prochaine fuite.
