Quelqu'un connecte une clé API OpenAI, Anthropic ou Google à un outil de code nommé OpenCode, exactement comme vous le faites avec Claude Code, Cursor ou un autre outil IA. Une nuit, des pirates ont utilisé des clés volées dans la Console d'OpenCode pour faire tourner des agents IA 24 heures sur 24, et ont vidé des comptes de plusieurs milliers de dollars, plus vite qu'aucun humain n'aurait pu réagir.
Voici comment vérifier tout de suite si votre clé API est exposée, trois étapes pour la verrouiller, et un prompt qui vous guide pour fixer un plafond de dépense directement chez le fournisseur.
Commençons par la base
Une clé API, c'est en gros un numéro de carte bancaire pour votre compte OpenAI, Anthropic ou Google. Chaque outil que vous y connectez, un assistant de code, une automatisation, une appli interne, peut dépenser sur votre compte comme si c'était vous. Si cet outil tiers est piraté et que la clé fuit, celui qui la détient continue de dépenser jusqu'à ce que vous coupiez l'accès. Chez OpenCode, cela a touché 1,4% des utilisateurs, et certains se sont réveillés avec des factures de plusieurs milliers de dollars.
Étape 1: listez qui détient vos clés aujourd'hui
Faites une liste courte: quels outils IA tiers, code, automatisation, CRM, sont connectés à votre clé OpenAI, Anthropic ou Google en ce moment. Chacun garde votre clé de son côté, comme l'a fait la Console d'OpenCode. Plus la liste est courte, moins vous avez de portes à surveiller.
Étape 2: plafonnez la dépense par clé, pas seulement par compte
OpenAI, Anthropic et Google Cloud permettent de fixer un plafond de dépense au niveau du projet ou de la clé, pas seulement pour tout le compte. Cela n'empêche pas un piratage, mais ça pose un plafond sur ce qu'on peut vous voler si une clé fuit. Faites-le maintenant, pas après coup.
Étape 3: si une clé fuit, remplacez-la chez le fournisseur, pas seulement dans l'outil
Après le piratage d'OpenCode, un utilisateur nommé Ziwen a publié l'avertissement qui s'est répandu le plus vite: si vous aviez stocké une clé dans la Console d'OpenCode, changez-la maintenant, et révoquez-la directement sur le tableau de bord du fournisseur, OpenAI, Anthropic ou Google, pas seulement dans l'outil tiers. La remplacer seulement dans l'appli laisse l'ancienne clé active. OpenCode a dit la même chose aux utilisateurs touchés: révoquer et remplacer la clé chez le fournisseur, mettre à jour tout ce qui l'utilisait, et vérifier les usages inhabituels.
Avant de fermer l'onglet
Ne vous arrêtez pas à la révocation de la clé. Vérifiez le journal d'usage de chaque fournisseur sur les deux dernières semaines, un pic de requêtes ou de coût que vous ne reconnaissez pas est le signe qu'une clé a déjà été utilisée. Dax Raad, cofondateur d'OpenCode, a écrit sur X que pendant l'attaque son équipe a dû faire tourner des agents de défense 24 heures sur 24, parce que les attaquants ne s'arrêtaient jamais. C'est une réponse à l'échelle d'une entreprise, pas d'une seule personne, mais la vérification de base, un plafond de dépense et une clé propre, vaut le coup pour quiconque connecte une clé à un outil IA.
Faites ceci dans les dix prochaines minutes: ouvrez le tableau de bord du fournisseur que vous utilisez, OpenAI, Anthropic ou Google, vérifiez si votre clé a un plafond de dépense, et si non, fixez-en un.