Viral hari ini di kalangan pengembang: OpenCode mengakui ada penyusup yang masuk ke sistem lama mereka dan kunci API pihak ketiga milik sebagian pengguna berpotensi terekspos. Perusahaan alat coding berbasis AI itu menyebut kelompok terdampak adalah 1,4 persen pengguna layanan OpenCode Console. Semua pengguna yang terdampak menerima surel pemberitahuan pada 17 Oktober 2026.
Kronologi Singkat Insiden
Menurut keterangan perusahaan yang dikutip The Hacker News, penyusup mencapai sistem lama OpenCode pada malam 16 Oktober 2026. Yang disasar adalah Console, layanan hosted opsional tempat tim menyimpan kunci penyedia model. Kunci itu dipakai Console untuk memanggil model OpenAI, Anthropic, atau Google tanpa membagikan kunci aslinya ke anggota tim.
Surel peringatan dikirim pada pagi 17 Oktober dengan subjek Action Required: Potential provider key breach. OpenCode menyatakan pengguna yang tidak menerima surel tersebut tidak termasuk kelompok terdampak. Keterangan itu juga dibagikan perusahaan melalui akun resmi mereka pada hari yang sama.
Perusahaan menegaskan insiden ini terjadi pada OpenCode Console, bukan pada aplikasi OpenCode itu sendiri. Kunci penyedia model yang ditambahkan langsung di komputer pengguna lewat aplikasi baris perintah maupun aplikasi desktop disimpan di basis data lokal dan tidak terpengaruh.
Viral Hari Ini: Kenapa Kunci API Jadi Rebutan
Kunci API bukan sekadar kata sandi. Kunci itu adalah kunci pembayaran: siapa pun yang memegangnya bisa memakai layanan model atas biaya pemilik akun. Karena itu kunci yang bocor langsung bernilai ekonomi, terlebih ketika pemakaian model dihitung per token.
OpenCode menyebut insiden ini terkait dengan serangan distilasi berskala besar. Distilasi adalah istilah yang dipakai penyedia model untuk kampanye penarikan jawaban model dalam jumlah sangat besar demi melatih model pesaing. Serangan itu tidak menyasar data percakapan biasa, tetapi justru akses tetap ke layanan model.
Konteks yang lebih luas membuat risiko ini relevan di Indonesia. Pengembang, agensi kreatif, dan tim produk di dalam negeri banyak memakai kunci API untuk alat coding maupun otomasi konten. Aturan pelabelan konten AI yang kini dikaji regulator, seperti dibahas pada kebijakan Komdigi bulan ini, belum menyentuh soal tata kelola kunci, jadi pengamannya masih bergantung pada kebiasaan tim.
Apa yang Diminta OpenCode dari Pengguna
Perusahaan meminta pengguna terdampak mencabut kunci yang tersimpan di Console pada masing-masing penyedia, lalu menggantinya dengan kunci baru. Pencabutan harus dilakukan di sisi penyedia, bukan hanya dihapus dari Console. Menghapus kunci dari dasbor Console tidak otomatis membatalkannya di penyedia.
OpenCode juga mengingatkan bahwa batas anggaran yang dipasang di Console tidak bisa membatasi pemakaian kunci di luar gateway mereka. Console hanya melihat permintaan yang melewati sistemnya sendiri. Kunci yang sudah dicuri tetap bisa dipakai langsung ke server penyedia tanpa terdeteksi batas tersebut.
Salah satu pendiri OpenCode, Dax Raad, menegaskan dalam balasan di media sosial bahwa kunci pengguna tidak pernah tersimpan di sisi mereka. Ia juga menyatakan penyerang masih terus mencoba masuk selama 48 jam pada 17 sampai 18 Oktober, meski efek sampingnya membuat sistem mereka diperketat.
Klaim Kerugian dari Pengguna
Sejumlah pengguna melaporkan tagihan membengkak setelah insiden ini. Menurut rangkuman TechCrunch dan pemberitaan lain, ada keluhan tagihan ratusan hingga ribuan dolar pada akun OpenAI dan Anthropic. Angka-angka itu berasal dari pengakuan pengguna di media sosial, bukan dari catatan resmi perusahaan.
Notebookcheck melaporkan klaim serupa dengan nilai lebih kecil pada akun Anthropic dan Google. Semua angka tersebut masih berupa klaim perorangan. OpenCode sendiri memakai frasa berpotensi terekspos dan belum menyatakan ada kunci yang benar-benar disalin atau dipakai pihak lain.
Perbedaan redaksi itu penting untuk dicatat. Laporan korban masih perlu diverifikasi, sementara jumlah pengguna terdampak sudah disebut perusahaan sebesar 1,4 persen. Media massa dan perusahaan juga tidak menyebut jumlah total kunci yang terlibat.
