Hackeři získali přístup k části platformy OpenCode, oblíbené open source alternativy ke Claude Code a Cursor, a odcizili API klíče uživatelů. Ukradené klíče pak použili k tomu, aby na účet obětí volali komerční AI modely a nabíjeli jim poplatky. Incident potvrzuje TechCrunch ze 19. října 2026.
OpenCode je open source AI kódovací agent, který si za krátkou dobu získal komunitu jako levnější nebo volně dostupná alternativa ke komerčním nástrojům jako Claude Code nebo Cursor. Útočníci pronikli do starší části online platformy projektu (OpenCode Console) a ukradli API klíče některých uživatelů.
Získaných klíčů pak zneužili k volání komerčních AI API, čímž oběť platila za inference, které sama nevyužívala. Incident postihl 1,4 % uživatelů OpenCode Console; někteří hlásí neautorizované poplatky ve stovkách dolarů, v krajních případech přes 1 700 dolarů za jednu noc.
Incident zapadá do širšího trendu: vibe coding a nástroje pro AI asistované programování přitahují nové, méně zkušené uživatele, kteří nemusí mít dobrý přehled o bezpečnosti API klíčů. CzechCrunch v samostatném článku varuje, že aplikace generované AI bývají funkční, ale bezpečnostně děravé.
Proč by vás to mělo zajímat
Používáte-li jakýkoli AI kódovací nástroj s vlastním API klíčem, zkontrolujte nastavení oprávnění klíče a zapněte limity výdajů přímo u poskytovatele modelu. Klíč s neomezeným rozpočtem je v případě úniku okamžitý finanční problém.
