OpenCode hat am 17. Oktober 2026 über seinen offiziellen Account einen Sicherheitsvorfall offengelegt: Am Abend des 16. Oktober wurde seine Plattform Opfer eines Sicherheitseinbruchs im Zusammenhang mit einem groß angelegten Destillationsangriff, von dem 1,4 % der Nutzer von OpenCode Console betroffen sind. Nach Angaben des Unternehmens wurden alle betroffenen Nutzer am Morgen des 17. Oktober per E-Mail benachrichtigt; gemeinsam mit Anthropic, OpenAI und Google wird an der Behebung gearbeitet. Der Vorfall läuft noch, weitere Details können derzeit nicht genannt werden.
Bestätigt sind nur drei Fakten
Zerlegt man die Mitteilung, bleiben die bestätigten Fakten bewusst knapp. Erstens wird der Vorfall als mit einem groß angelegten Destillationsangriff verbunden eingeordnet – nicht als gewöhnliches Datenleck oder Ausfall. Zweitens wird der Umfang beziffert: 1,4 % der Console-Nutzer. Console ist der gehostete Dienst, über den OpenCode seinen Nutzern Modellzugang bereitstellt; diese Nutzer rufen über einen einzigen Einstieg Modelle mehrerer Anbieter auf. Drittens laufen Benachrichtigung und Behebung bereits: Betroffene haben eine E-Mail erhalten, und drei vorgelagerte Modellanbieter sind beteiligt. Wie die Angreifer hineinkamen und ob sich der Schaden als gekaperte Konten, verbrauchte Kontingente oder gelesene Daten zeigte, sagt die Mitteilung mit keinem Wort.
Warum ein Destillationsangriff einen Sammelzugang ins Visier nimmt
Destillation ist ursprünglich eine legitime Trainingstechnik: Ein neues Modell lernt massenhaft aus den Ausgaben eines starken Modells und kopiert dessen Fähigkeiten zu einem Bruchteil der Kosten eines Trainings von Grund auf. Als Angriff funktioniert sie über die Menge – der Angreifer tarnt sich als normaler Aufrufer, stellt dem Zielmodell massenhaft Anfragen, sammelt die Antworten und trainiert damit ein eigenes Modell. Für Modellanbieter umgeht das Lizenzierung und Abrechnung und kopiert zugleich ihr wertvollstes Gut; deshalb zählt diese Form des API-Missbrauchs zu den am schwersten zu kontrollierenden.
Ein Sammelzugang wie OpenCode Console ist für solche Angreifer besonders reizvoll: Hinter einem einzigen Konto hängen gleichzeitig die Frontier-Modelle mehrerer Anbieter, ein einziger Einbruch erreicht also viele Ziele auf einmal. Das erklärt auch, warum Anthropic, OpenAI und Google gemeinsam auf der Behebungsliste stehen – gekappt werden muss nicht die Gefährdung eines einzelnen Modells, sondern eine einzige missbrauchte Aufrufkette. Diese Lesart ist eine Schlussfolgerung aus den offengelegten Angaben; der konkrete Angriffspfad bleibt der Folgeerklärung von OpenCode vorbehalten.
Die offenen Fragen sind zahlreicher als die Antworten
Die Lücken dieser Offenlegung betreffen genau das, was Nutzer am meisten wissen wollen: Nach welchen Kriterien die 1,4 % als betroffen eingestuft wurden, wie lange der Angriff dauerte, wie groß die abgegriffene Menge an Modellausgaben war und ob die Angreifer an Zugangsdaten oder Zahlungsinformationen der Nutzer gelangten. OpenCode sagt nur, der Vorfall laufe noch und mehr könne derzeit nicht offengelegt werden – was eine zweite Mitteilung wahrscheinlich macht. Bis dahin sollten Console-Nutzer, die die E-Mail erhalten haben, zuerst deren Anweisungen folgen; wer keine erhalten hat, sollte sich nicht für völlig unbetroffen halten – ein Blick auf jüngste Aufrufvolumina und Abrechnungsauffälligkeiten ist die billigste Selbstprüfung bei einem solchen Vorfall.
Für die Branche insgesamt rückt der Fall ein altes Problem in den Vordergrund: Je stärker sich Modellfähigkeiten hinter wenigen Sammelzugängen konzentrieren, desto weniger ist Destillationsabwehr die Sache eines einzelnen Anbieters. Wer aufruft, ob Aufrufmengen auffällig sind und ob Ausgaben systematisch gesammelt werden, lässt sich nur erkennen, wenn Plattformen und vorgelagerte Anbieter Signale teilen. Ob OpenCodes nächste Offenlegung Angriffspfad und wahres Ausmaß benennt, wird entscheiden, ob dieser Fall als zügige Benachrichtigung endet oder als Beleg für eine gemeinsame Schwachstelle der Aggregationsplattformen. OpenCode hatte erst am 15. Oktober DeepSeek V4.1 Flash auf seiner Plattform kostenlos freigegeben; bei wachsendem Aufrufvolumen der Plattform wird Missbrauch dieser Art nur noch schwerer zu erkennen sein.
