OpenCode expose ses utilisateurs à des frais cachés

Un développeur a reçu un mail facturé 400 $ sur son compte Mistral. Un autre, 280 € sur son abonnement Perplexity. Rien de normal. Juste la preuve que les clés API d’OpenCode ont été exposées, et que quelqu’un en profite. Pas un hack spectaculaire, non. Juste une faille basique : un ancien système oublié, accessible sans protection, où traînaient des données sensibles. Et maintenant, les utilisateurs paient.

Le problème n’est pas technique, c’est humain.

Pourquoi vos clés API valent de l’or pour les pirates

OpenCode, c’est l’outil qui permet de connecter des IA entre elles, de faire parler Python avec GPT-4, ou de lancer des requêtes en masse sans se prendre la tête. Sauf que ces clés, censées être sécurisées, le sont moins qu’un cadenas en papier.

Un utilisateur de Reddit a partagé ses factures : « J’ai vu mon compte Perplexity passer de 5 € à 280 € en une nuit. Pas de notification, pas d’avertissement. Juste un trou dans mon portefeuille. » D’autres rapportent des appels API massifs, des requêtes envoyées à tour de bras, comme si quelqu’un avait piraté leur compte pour pomper des crédits.

Le pire ? OpenCode ne dit pas qui a accédé à ces données.

La société confirme une « violation de données », mais reste floue sur l’ampleur. Trois gros fournisseurs d’IA (Mistral, Perplexity, Cohere) sont « en contact », mais aucun ne précise si les clés ont été révoquées automatiquement. Résultat : les utilisateurs doivent révoquer manuellement leurs clés, une par une, en priant pour ne pas se faire avoir une deuxième fois.

Et si vous ne le faites pas ?

Les frais continuent. Un développeur freelance, qui utilise OpenCode pour des prototypes clients, a vu son budget mensuel exploser. « J’ai dû annuler un projet parce que mon client a reçu une facture de 1200 € à ma place. Moi, je n’avais même pas touchée une ligne de code ce jour-là. »

OpenCode travaille avec les fournisseurs d’IA… mais pas avec vous

La communication d’OpenCode est minimaliste, presque insultante. « Nous collaborons avec les principaux acteurs de l’IA pour sécuriser les accès. » Traduction : « On fait ce qu’on peut, mais débrouillez-vous. »

Pourtant, les solutions existent. Des outils comme Tailscale ou Cloudflare Access permettent de sécuriser les clés API en quelques clics. Mais OpenCode ne les propose pas. Pourquoi ? Parce que ça coûterait de l’argent, ou parce que ça compliquerait l’expérience utilisateur ? Peu importe. Le résultat, c’est que vos données sont en danger, et vous, vous devez courir après.

Le vrai problème, c’est l’opacité.

Personne ne sait combien de clés ont fuité. Personne ne sait combien d’utilisateurs ont été touchés. Et surtout, personne ne vous préviendra si ça recommence.

Ce que vous devez faire maintenant (même si OpenCode ne vous le dit pas)

1. Vérifiez vos factures d’IA. Un pic soudain ? C’est le signe que quelqu’un utilise vos clés.

2. Révoquez toutes vos clés OpenCode. Même celles que vous n’utilisez plus. Même celles que vous avez créées il y a six mois.

3. Générez de nouvelles clés. Et cette fois, ne les partagez avec personne. Pas sur GitHub, pas dans un notebook public, pas en dur dans un script.

4. Activez la 2FA sur vos comptes d’IA. Si Mistral ou Perplexity le proposent, faites-le. Même si c’est une galère.

Et si OpenCode ne fait rien ?

La question n’est pas « Comment ça a pu arriver ? », mais « Pourquoi personne ne force OpenCode à se bouger ? »

Les régulateurs dorment. Les fournisseurs d’IA ferment les yeux. Et vous, vous êtes seul face à l’arnaque.

La prochaine fois, ce ne sera pas 400 $. Ce sera pire.

L’IA a un problème de confiance. OpenCode en est la preuve.

On nous vend des outils « sécurisés », « faciles à utiliser », « parfaits pour les pros ». Sauf que quand un bug arrive, personne ne vous protège.

Les clés API, c’est comme des clés de voiture : si vous les perdez, vous risquez de vous faire voler la caisse. Sauf qu’ici, la caisse, c’est votre argent. Et la voiture, c’est votre réputation.

Alors oui, révoquez vos clés. Mais surtout, arrêtez de faire confiance aveuglément.

Parce qu’au final, le vrai piratage, ce n’est pas celui des données. C’est celui de votre patience.