Am Wochenende hat OpenCode gemeldet, dass Angreifer in ein älteres System eingebrochen sind. OpenCode ist ein KI-Werkzeug zum Programmieren, so ähnlich wie Claude Code, das ich jeden Tag benutze. Betroffen waren laut Firma 1,4 Prozent der Nutzer der Online-Plattform OpenCode Console, und zwar die, die dort ihre eigenen Schlüssel für OpenAI, Anthropic oder Google hinterlegt hatten. Und mit diesen Schlüsseln haben die Angreifer dann auf fremde Rechnung KI laufen lassen. Manche Konten wurden mit ein paar hundert Dollar belastet, einige mit mehr als 1.000 (TechCrunch).

Anthropic und Google haben die betroffenen Schlüssel gesperrt, OpenAI erstattet die Kosten. Wie die Angreifer überhaupt reingekommen sind und wie die Schlüssel gespeichert waren, hat OpenCode bisher nicht gesagt. Die Firma nennt es einen großangelegten Destillationsangriff, also vermutlich den Versuch, mit fremdem Guthaben massenhaft Antworten aus den großen Modellen zu ziehen. Ob das stimmt oder ob es einfach ein Einbruch war, ist offen, da streiten sich gerade auch die Fachleute (StepSecurity).

Was so ein API-Schlüssel eigentlich ist

Für alle, die nicht jeden Tag damit zu tun haben. Wenn ein Programm mit ChatGPT oder Claude reden soll, ohne dass ein Mensch im Browser sitzt, braucht es einen Schlüssel. Das ist eine lange Zeichenkette, die beim Anbieter sagt: Das hier bin ich, und abgerechnet wird über mein Konto. Wer den Schlüssel hat, ist für den Anbieter ihr. Kein zweiter Faktor, keine Rückfrage.

Und das ist halt der Punkt, den viele unterschätzen. Ein Passwort gibt man nirgendwo ein außer beim Anbieter selbst. Den API-Schlüssel kopiert man dagegen ständig irgendwohin, weil das genau so gedacht ist. In ein Werkzeug, in ein Plugin, in eine Automatisierung, die ein Kollege mal gebaut hat, in eine kleine App, die gerade auf LinkedIn rumgeht. Jedes dieser Werkzeuge hat dann quasi eure Kreditkarte, und ihr müsst darauf vertrauen, dass es sie gut wegschließt.

Ich hab das auf der anderen Seite auch

Bei Caption & Cut, unserem Tool zum Schneiden von Videos, können Nutzer ihren eigenen Schlüssel für Buffer hinterlegen, damit die fertigen Videos direkt eingeplant werden. Also genau die Situation, nur dass wir der Anbieter sind, der den Schlüssel verwahrt. Den haben wir so gebaut, dass er auf dem Server bleibt und nie an den Browser rausgeht, die Oberfläche sieht nur, ob ein Konto verbunden ist oder nicht. Mehr Vertrauen als das kann ich aber als Anbieter auch nicht versprechen, und das meine ich ernst. Also, der Nutzer kann von außen ja nicht reingucken, wie ich das mache. Bei OpenCode konnte das auch keiner.

Deshalb glaub ich, dass die Frage bei euch gar nicht lautet, ob das Werkzeug sicher ist. Das wisst ihr eh nicht. Ich ja auch nicht. Die Frage ist eher, was passiert, wenn es mal nicht sicher war, und wie schnell ihr das merkt.

Wie ihr eure API-Schlüssel in einer Stunde in den Griff kriegt

Wenn in eurer Firma irgendwo KI über Schnittstellen läuft, egal ob selbst gebaut, von einer Agentur oder als fertiges Werkzeug, sind es im Grundsatz diese Schritte:

1. Aufschreiben, welche Schlüssel es gibt und wo jeder davon eingetragen ist. Im Konto beim Anbieter sieht man, welche Schlüssel existieren, meistens auch, wann sie zuletzt benutzt wurden. Schlüssel, die keiner zuordnen kann, sperren.
2. Pro Werkzeug einen eigenen Schlüssel. Wenn eins davon so einen Einbruch hat wie OpenCode, sperrt ihr genau den einen und der Rest läuft weiter. Mit einem Schlüssel für alles steht dann halt alles.
3. Ein Ausgabelimit setzen. OpenAI bietet das pro Projekt an, und zwar entweder als Warnung oder als harte Grenze, ab der einfach nichts mehr geht (OpenAI). Bei Anthropic geht das über Arbeitsbereiche mit eigenem Monatslimit (Anthropic). Die Warnung allein hält niemanden auf. Die harte Grenze schon.
4. Festlegen, wer die Warnmails vom Anbieter bekommt. Bei OpenCode haben einige den Einbruch über Kostenwarnungen gemerkt. Wenn die an eine Adresse geht, die keiner liest, merkt ihr es mit der Monatsrechnung.

Der erste Schritt ist der, der am längsten dauert, weil man meistens erst mal rumfragen muss, wer da was mal eingerichtet hat. Kennt man ja. Aber der Rest ist ehrlich gesagt in einer Viertelstunde erledigt.

Was mich an der Sache am meisten beschäftigt, ist gar nicht OpenCode selbst. Gerade kommt jede Woche ein neues KI-Werkzeug raus, und fast jedes will als erstes euren Schlüssel. Das ist bequem, und ich mach das auch. Aber irgendwer im Unternehmen sollte halt wissen, wo die alle liegen, und das ist eher eine Frage vom Ablauf als von der Technik. Wer so einen Ablauf bei sich mal sortiert angucken will, kann das mit dem Prozess-Check machen.