Alat Coding AI OpenCode Diretas, Pembobol Sedot Saldo dan Pembayaran Akun Pengguna

Dunia pengembangan perangkat lunak berbasis kecerdasan buatan (AI) kembali diguncang kabar buruk. OpenCode, platform AI coding agent berformat sumber terbuka (open-source) yang tengah populer sebagai pesaing utama Claude Code dan Cursor, mengonfirmasi bahwasanya sistem lama mereka telah diretas. Insiden ini berdampak langsung pada 1,4% pengguna platform komputasi awan mereka, OpenCode Console, dan mengakibatkan kebocoran kunci API (API keys) milik para pengembang.

Akibat kebocoran kredensial digital tersebut, sejumlah pengembang mendapati tagihan membengkak secara mendadak pada akun layanan AI mereka. Para peretas diduga kuat memanfaatkan kunci API yang dicuri untuk mengakses model AI berkinerja tinggi guna melakukan serangan eksfiltrasi data atau distillation attack skala besar. Insiden ini tidak hanya merugikan pengguna secara finansial, tetapi juga menelanjangi ironi fatal dalam arsitektur keamanan AI modern: sistem pertahanan AI justru sering kali lumpuh akibat pagar pembatas (guardrails) etikanya sendiri.

Kebocoran Kunci API dan Amukan Tagihan Siluman

Serangan yang terjadi di akhir pekan tersebut langsung memicu kepanikan di kalangan komunitas pengembang. Di berbagai platform media sosial dan forum teknis seperti Reddit dan X, para pengguna melaporkan munculnya peringatan penggunaan dana (spending alerts) yang tidak dikenal secara beruntun dari penyedia model AI raksasa seperti OpenAI, Anthropic, dan Google AI.

Beberapa pengembang mengaku mengalami kerugian ratusan hingga melebihi USD 1.000 hanya dalam hitungan jam sebelum menyadari bahwa kredensial mereka telah disalahgunakan. Menanggapi situasi darurat ini, Anthropic dan Google bergerak cepat dengan memblokir kunci API yang terindikasi bocor. Sementara itu, OpenAI berkoordinasi langsung dengan tim OpenCode untuk memulihkan akses serta memproses pengembalian dana (refund) bagi pelanggan yang terdampak.

Co-founder OpenCode, Dax Raad, mengklarifikasi bahwa insiden keamanan ini hanya terbatas pada layanan OpenCode Console—tempat di mana pengguna menyimpan kunci API di dalam ruang kerja (workspace) mereka. Ia menegaskan bahwa aplikasi open-source utama dan perangkat command-line milik OpenCode tetap aman karena kredensial pengguna pada layanan tersebut tidak pernah disimpan di server perusahaan.

Paradoks Keamanan: Ketika Model AI Bertahan Ogah Memeriksa Kode Jahat

Di balik upaya peretasan tersebut, terungkap fakta teknis yang cukup mengkhawatirkan. Tim respons insiden OpenCode harus menghadapi gempuran serangan Siber berbasis AI secara nonstop selama 48 jam. Namun, ketika mereka mencoba mengotomatisasi analisis kode berbahaya menggunakan agen AI defensif, sistem pertahanan tersebut justru menolak bekerja.

Model-model AI komersial yang digunakan untuk menganalisis peretasan mendadak menghentikan proses pemindaian karena kode infeksi yang diperiksa memicu filter keamanan internal (safety filters). AI tersebut menganggap tim peneliti keamanan sebagai peretas yang mencoba mengeksekusi instruksi berbahaya.

Kondisi ini baru terurai setelah OpenCode mendapatkan akses khusus ke program Daybreak Blue milik OpenAI—sebuah jalur khusus yang menyediakan model AI dengan filter keamanan yang disesuaikan untuk kebutuhan riset keamanan siber defensif.

Masalah “asimetri pertahanan” ini bukan pertama kalinya terjadi. Platform AI terkemuka Hugging Face pernah mengalami hambatan serupa ketika agen AI komersial menolak menganalisis log aktivitas dari peretasan sistem mereka. Pagar pembatas etika pada model AI saat ini terbukti belum mampu membedakan antara peretas yang sedang menyerang dan tim keamanan yang sedang melakukan investigasi forensic.

Ekalasi Serangan Siber Berbasis Agen AI secara Global

Rentetan insiden ini menegaskan tren baru yang kian mengancam: peretasan yang digerakkan oleh agen AI otonom. Baru-baru ini, firma keamanan siber CrowdStrike mengungkap adanya indikasi peretas asal Tiongkok yang memanfaatkan agen penguji penetrasi AI berpadu dengan model Claude untuk meretas perbankan di Korea Selatan. Di saat bersamaan, lembaga keamanan siber India (CERT-In) juga mengeluarkan peringatan dini terkait masuknya agen AI tanpa izin ke dalam sistem berbagai organisasi di negara tersebut.

Hingga saat ini, pihak OpenCode masih terus melakukan investigasi mendalam mengenai celah spesifik pada sistem lama yang berhasil ditembus oleh peretas. Perusahaan mengimbau seluruh pengguna OpenCode Console untuk segera mereset dan mengganti kunci API mereka secara langsung melalui penyedia layanan AI masing-masing.