OpenCode a únik API kľúčov: ako si ochrániť prístupové údaje a čo robiť, keď uniknú

Predstavte si, že vám niekto na týždeň prenajme kanceláriu, vy si do nej položíte firemný notes s prihlasovacími údajmi - a po skončení prenájmu zistíte, že kľúč od dverí má stále niekto iný.

Presne takýto typ rizika sa v októbri 2026 spája s incidentom okolo OpenCode: podľa medializovaných správ (AInvest, 2026; MSN, 2026) sa objavilo riziko úniku externých API kľúčov niektorých platiacich používateľov; oficiálne oznámenie projektu sme v čase písania nedohľadali. A to najpodstatnejšie pre vás: zodpovednosť za škodu sa môže líšiť podľa konkrétnych zmluvných podmienok služby a poskytovateľa API. Tento článok pre aiporadca.sk vysvetľuje, čo to znamená v praxi, ako si prístupové údaje ochrániť a čo robiť v prvých hodinách po podozrení na únik.

Čo sa vlastne stalo - a prečo je to vaša vec

OpenCode je nástroj na prácu s AI modelmi z príkazového riadka (terminálu), ktorý si bežne nastavíte tak, že mu vložíte vlastný API kľúč od poskytovateľa modelu (napríklad OpenAI, Anthropic alebo Google). Kľúč funguje podobne ako prístupový údaj k platenému účtu: kým platí, môže sa na ňom míňať.

Podľa medializovaných informácií (AInvest, 2026; MSN, 2026) sa pri incidente dostali do rizika externé API kľúče časti platiacich používateľov. Presný rozsah, počet dotknutých účtov ani technickú príčinu sa z dostupných zdrojov nepodarilo jednoznačne dohľadať - overiť si to môžete priamo v oficiálnych oznámeniach projektu a u poskytovateľa vášho API kľúča. Dôležité je niečo iné: prevádzkovateľ OpenCode vo väčšine takýchto nastavení nie je ten, kto kľúč vydal ani kto nesie stratu na vašom účte. Kľúč patrí vám, vy ho platíte a vy ho aj spravujete.

To je celý rozdiel oproti bežnej predstave „zaplatím za službu, tak nech si to stráži sama“. Ak niekto váš kľúč zneužije, účet za spotrebu príde vám - nie vývojárovi nástroja.

Kde presne kľúče unikajú najčastejšie

Mnohé reálne úniky nemajú nič spoločné s veľkým hackerským útokom. Kľúč unikne preto, že ho niekto omylom uloží na miesto, ktoré je verejné:

• Git repozitár - najčastejší prípad. Súbor .env s kľúčom sa commitne do verejného repozitára a ho môžu rýchlo nájsť automatické skenery. Aj keď ho hneď vymažete, zostáva v histórii commitov.
• Konfiguračné súbory zdieľané cez cloud - kľúč v texte, ktorý omylom pošlete kolegovi alebo vložíte do zdieľaného dokumentu.
• Screenshoty a záznamy obrazovky - terminál s vypísaným kľúčom na obrazovke v návode alebo na workshope.
• Lokálne nástroje tretích strán - doplnky, ktoré si vypýtajú kľúč a uložia ho v čitateľnej podobe.

Praktický dôsledok: ochrana začína pri vás, nie pri službe. Ako to nastaviť, aby ste o kľúč neprišli ani omylom?

Ako si prístupové údaje ochrániť - konkrétne kroky

• Kľúč nikdy neukladajte priamo do kódu. Držte ho v premennej prostredia (environment variable) alebo v súbore .env, ktorý je v .gitignore. Pred prvým commitom si skontrolujte, čo ide von.
• Nastavte si limit spotreby (spending limit) u poskytovateľa API. Toto je najúčinnejšia poistka: aj keď kľúč unikne, maximálna škoda je dopredu ohraničená. Bez limitu môže zneužitie vygenerovať účet, ktorý nečakáte.
• Používajte oddelené kľúče na oddelené účely - iný kľúč na experimenty, iný na produkciu, iný pre firmu. Zneužitie jedného tak nezablokuje celý váš pracovný postup.
• Rotujte kľúče pravidelne (napríklad raz za štvrťrok) a pri každom odchode človeka z tímu. Rotácia znamená: starý kľúč zrušiť, vydať nový.
• Zapnite si upozornenia na spotrebu (e-mail alebo notifikácia pri prekročení denného objemu). Rýchle odhalenie zneužitia je polovica škody.
• Overte si, kde nástroj kľúč ukladá. Pri nástrojoch pracujúcich v termináli (OpenCode nevynímajúc) si prečítajte dokumentáciu, či kľúč drží len lokálne, alebo ho posiela na server. Rozdiel je zásadný pre vaše riziko.

Čo robiť v prvých hodinách po podozrení na únik

Poradie krokov rozhoduje o tom, koľko zaplatíte:

1. Zrušte (revoke) kľúč u poskytovateľa API - nie „zmeňte heslo“, ale priamo zrušte konkrétny kľúč. Zneužiteľný prestane byť okamžite.
2. Vytvorte nový kľúč a vložte ho do svojho nastavenia. Starý už nikdy nepoužite.
3. Skontrolujte výpis spotreby za posledné dni a hľadajte skoky, ktoré nezodpovedajú vášmu použitiu. Screenshot si odložte.
4. Ak bol kľúč vo verejnom repozitári, vymažte ho nielen v aktuálnej verzii, ale aj z histórie; pri zásahu do histórie zvážte vplyv na integritu repozitára - samotné vymazanie súboru nestačí.
5. Ak zistíte zneužitie, kontaktujte podporu poskytovateľa API s dátumom a dôkazmi. Podmienky vrátenia neoprávnenej spotreby sa líšia podľa poskytovateľa; overte si ich vopred - preto je limit spotreby dôležitejší než spoliehanie sa na refundáciu.
6. Ak ide o firemný kľúč, informujte zodpovednú osobu a zvážte kontrolu, či sa ten istý kľúč nepoužíval aj inde.

Kde je hranica zodpovednosti - a čo si z toho vziať

Incident okolo OpenCode je užitočná pripomienka, že pri nástrojoch postavených na vašich vlastných API kľúčoch nesie hlavnú časť rizika ten, kto kľúč vydal a platí - teda vy. Neznamená to, že nástroje sú zlé; znamená to, že bezpečnostné nastavenia na strane poskytovateľa API (limit, upozornenia, rotácia) nie sú voliteľný doplnok, ale základ. Presný rozsah októbrového incidentu si pred akýmkoľvek rozhodnutím overte v oficiálnych zdrojoch projektu; medializované správy sa v detailoch môžu meniť.

Technický záver: API kľúč ako zmluva, ktorú si strážite sami

Pri práci s AI nástrojmi v termináli platí jednoduché pravidlo: API kľúč je vaša zmluva s poskytovateľom modelu, nie s nástrojom, ktorý ho používa. Preto si pred nasadením OpenCode či podobného nástroja nastavte limit spotreby, uložte kľúč mimo kódu a pripravte si plán rotácie. Ak kľúč unikne, rozhoduje rýchlosť - zrušenie kľúča do niekoľkých minút je účinnejšie než akékoľvek následné dohadovanie o zodpovednosti.

Zdroje

• AInvest - Paid OpenCode API key breach, ainvest.com (citované 18. 10. 2026)
• MSN - OpenCode 发生安全事件：部分用户外部 API 密钥存在外泄风险, msn.cn (citované 18. 10. 2026)