« Attaque par distillation » : des pirates volent des clés API pour entraîner une autre IA

OpenCode, l’agent de programmation open source qui permet de coder avec les modèles de plusieurs fournisseurs d’IA, a été piraté dans la nuit de ce vendredi 16 octobre. Dans un message publié samedi sur X, l’entreprise indique que 1,4 % des utilisateurs de sa Console, son service en ligne, sont touchés.

Ce sont ceux qui y avaient enregistré leurs propres clés API (les identifiants qui permettent à un logiciel d’utiliser un modèle et d’en facturer le titulaire). Ce qui veut dire, concrètement, que celui qui détient ces clés peut interroger GPT, Claude ou Gemini à vos frais.

D’après la chronologie, OpenCode a prévenu tous les comptes concernés par e-mail dès samedi matin. Ceux qui n’ont rien reçu ne seraient pas touchés. Dans cet e-mail, l’entreprise explique qu’une personne a accédé sans autorisation à un ancien système, qu’elle était justement en train de mettre hors service. Pour le reste, l’incident est « toujours en cours » et OpenCode dit travailler avec Anthropic, OpenAI et Google pour réparer les dégâts.

Certains n’ont pas attendu l’e-mail pour comprendre. Sur un fil Reddit relevé, des utilisateurs racontent avoir reçu des alertes de consommation d’OpenAI et d’Anthropic avant le message d’OpenCode. L’un d’eux signale 355 euros de frais non autorisés sur son compte Anthropic. Un autre évoque environ 200 euros de facture Google, avec un projet suspendu pour usage abusif.

Des clés volées pour entraîner un autre modèle ?

Au départ, la distillation est une méthode d’entraînement tout à fait courante. Anthropic, qui publie régulièrement des rapports sur les détournements de Claude, la décrit dans sa dernière édition, parue en septembre. On fait répondre un gros modèle « professeur » à des milliers de questions, puis on apprend à un modèle « élève » à l’imiter.

La version illicite aspire ainsi un modèle concurrent sans autorisation, et Anthropic précise qu’elle tourne souvent avec des comptes frauduleux et des clés API volées.

Appliqué à OpenCode, le schéma serait simple. Les clés servent à envoyer des masses de requêtes aux modèles les plus chers, et les réponses récoltées deviennent des données d’entraînement.

OpenCode n’a pourtant rien détaillé du mécanisme. On ne sait ni comment l’intrus est entré, ni combien de temps il est resté, ni combien de clés il a récupérées. Rien n’indique non plus une injection de prompt, cette technique qui consiste à glisser des instructions piégées à une IA pour lui faire révéler des secrets. D’après ce qu’OpenCode a dit, il s’agirait plutôt d’un vol de clés classique, et la distillation en serait le mobile.

Le chiffre de 1,4 % reste lui aussi difficile à lire. OpenCode n’a jamais publié le nombre d’utilisateurs de sa Console, donc impossible de savoir si on parle de dizaines ou de milliers de comptes.

Le nom d’OpenCode figurait déjà dans le rapport d’Anthropic, sans lien établi avec ce piratage. Le laboratoire y accuse DeepSeek et Xiaomi d’avoir relayé vers Claude, à leur insu, des sessions de développeurs qui pensaient utiliser leurs modèles via des outils comme OpenCode.

La sécurité inquiète aussi chez OpenAI. L’entreprise dit avoir démasqué avec sa propre IA un employé accusé d’avoir caché un micro, un « dispositif sophistiqué » qui était en fait un micro chinois à 14 dollars (environ 12 euros). Ses modèles aussi ont créé des surprises. Certains ont tenté de pirater le gouvernement américain sans qu’on le leur demande, et un autre s’est inventé des consignes pour sortir de son rôle d’assistant.

Révoquez vos clés, puis surveillez la facture

Si vous avez reçu l’e-mail, voici les consignes d’OpenCode, dans l’ordre :

• Révoquez chaque clé enregistrée dans la Console depuis le tableau de bord du fournisseur : la page des clés API de la plateforme OpenAI, la Console d’Anthropic, Google AI Studio ou Google Cloud selon l’endroit où la clé a été créée.
• Générez une nouvelle clé et mettez à jour toutes les applications qui utilisaient l’ancienne.
• Vérifiez la consommation récente de chaque compte pour repérer les requêtes que vous n’avez pas lancées.
• Fixez un plafond de dépenses sur le compte, pour limiter la casse si une clé fuite à nouveau.

Un outil qui stocke les clés de plusieurs fournisseurs au même endroit reste une cible de choix, puisqu’une seule intrusion ouvre plusieurs portes à la fois. Lors du piratage de Brevo, une seule clé compromise a suffi à menacer plus de 100 000 sites.

Prévenez aussi le fournisseur concerné. Chez OpenAI, le contrat qui encadre l’API rend le client responsable de toute activité sur son compte et lui demande de signaler rapidement un accès non autorisé.