Une discussion publiée sur r/LocalLLaMA relaie une alerte non vérifiée concernant une possible compromission d’OpenCode. Le contenu fourni ne comprend ni avis d’incident ni déclaration d’OpenCode. Il s’interroge aussi sur la capacité d’une « distillation attack » à exposer des identifiants.

Les commentaires associent le risque supposé au service hébergé d’OpenCode et à OpenCode Console. Les installations utilisant des modèles en local semblent se situer en dehors du périmètre évoqué. Les clés mentionnées seraient celles de fournisseurs tiers, et pas nécessairement des clés utilisées par un modèle local. Un participant affirme qu’une ancienne clé API Anthropic disposant d’environ 1,50 $ a été volée.

Un utilisateur de Go raconte qu’une session s’est interrompue avec une demande de changement de clé API. La déconnexion suivie d’une nouvelle connexion a rétabli l’accès. Cette personne ne possédait aucune clé de fournisseur et n’avait reçu aucun e-mail. La discussion demande l’invalidation des clés et l’information des utilisateurs. Un commentaire recommande aussi de passer à un autre harness. Rien dans le contenu fourni ne confirme qu’OpenCode a pris ces mesures.