Eine Diskussion auf r/LocalLLaMA warnt ungeprüft vor einer möglichen Kompromittierung von OpenCode. Das vorliegende Material enthält weder eine Vorfallsmeldung noch eine Stellungnahme von OpenCode. Außerdem bleibt offen, ob ein sogenannter „distillation attack“ Zugangsdaten offenlegen könnte.

Die Kommentare beziehen den möglichen Zugriff auf den gehosteten Dienst von OpenCode und auf OpenCode Console. Nutzer lokaler Modelle sehen ihre Setups überwiegend außerhalb des genannten Risikos. Bei den betroffenen Zugangsdaten soll es sich um API-Schlüssel externer Anbieter handeln, nicht zwingend um Schlüssel eines lokalen Modells. Ein Kommentator berichtet, ein alter Anthropic-API-Schlüssel mit etwa 1,50 US-Dollar Guthaben sei gestohlen worden.

Ein Go-Nutzer berichtet von einer unterbrochenen Sitzung mit der Aufforderung, den API-Schlüssel zu ändern. Nach dem Ab- und erneuten Anmelden funktionierte der Zugriff wieder. Dieser Nutzer hatte keinen Provider-Schlüssel und keine E-Mail erhalten. Die Diskussion fordert eine Sperrung der Schlüssel und eine Benachrichtigung der Nutzer. Ein Kommentator empfiehlt zusätzlich den Wechsel zu einem anderen Harness. Ob OpenCode eine dieser Maßnahmen ergriffen hat, geht aus dem Material nicht hervor.