Chez OpenCode, une clé Anthropic vidée de 158 $ en une nuit

Une clé au repos, un solde à zéro

OpenCode a prévenu ses utilisateurs par e-mail le 17 octobre : un accès non autorisé a touché un ancien système de sa console, l'exposition démarrant le 17 octobre à 00h30 UTC. Le détail qui rend l'affaire désagréable, c'est ce que rapporte un utilisateur sur r/ClaudeAI. Sa clé Anthropic, stockée uniquement dans cette console et jamais utilisée auparavant, a servi pendant la nuit à des appels Opus. Au réveil, le solde affichait zéro, contre 158 $ la veille, et ce avant toute notification.

Autrement dit, la clé n'a pas fuité via du code applicatif ou un dépôt public : elle dormait dans un service tiers, et c'est ce service qui a été atteint. Les clés OpenAI et Google enregistrées dans la même console sont également concernées, ce qui élargit le périmètre bien au-delà d'Anthropic.

Qui paie les tokens brûlés par un autre

La question du remboursement reste ouverte. Dans une première réponse, Anthropic indique que les crédits consommés ne sont généralement pas remboursables. OpenCode, de son côté, dit discuter avec les fournisseurs d'un dédommagement. Rien n'est arbitré publiquement à ce stade.

Cette histoire de clés recoupe une question plus large, posée par L'Usine Digitale : Bruxelles peut-elle contrôler la sécurité des modèles avant leur commercialisation ? Les incidents provoqués par des agents d'OpenAI et d'Anthropic donnent à cette interrogation une portée concrète, alors que l'AI Act encadre la mise sur le marché des modèles. Le règlement parle de modèles ; les incidents, eux, arrivent par des agents et des identifiants.

Beam : 501 milliards sur l'étiquette, 23 en travail

Reflection publie Beam, un modèle ouvert texte-texte en architecture mixture-of-experts sparse : 501 milliards de paramètres au total, 23 milliards activés, et une fenêtre de contexte d'un million de tokens. La version instruction-tuned sort en BF16, FP8 et NVFP4. Le modèle est développé surtout pour l'anglais, avec trois cibles annoncées : un raisonnement économe en tokens, le génie logiciel et l'usage d'outils agentiques.

À l'autre bout de l'échelle, Openspline ajoute une couche d'avatar aux agents vocaux existants. On choisit une image, le projet génère une vidéo d'avatar parlant en temps réel, synchronisation labiale comprise, calculée en local sur la GPU. L'intégration à un agent vocal tiendrait en cinq lignes de code, et le modèle lite dépasserait les 90 FPS sur une RTX 4090. Le projet est publié sur GitHub avec une démo en ligne, à un stade très précoce.

Pékin liste 23 technologies IA, l'open source passe à côté

Le 16 octobre 2026, Pékin a proposé de réviser le catalogue des technologies restreintes à l'export : 40 ajouts, dont 23 liés à l'IA — grands modèles, agents, clusters de calcul. Les technologies déjà rendues publiques via l'open source ou des publications académiques sont explicitement exemptées. La consultation publique court jusqu'au 15 novembre, et l'enregistrement préalable à l'export s'applique déjà.

La ligne de partage esquissée porte donc sur ce qui est publié ou non. Un modèle à poids ouverts comme Beam et un projet sur GitHub comme Openspline ne relèvent pas du même régime qu'un modèle gardé derrière une API.

Et maintenant ?

Trois dépêches, un même déplacement du regard : là où l'on commentait des modèles, on finit par examiner des clés, des poids et la machine qui calcule. Une clé oubliée dans une console tierce coûte 158 $ en une nuit ; un modèle ouvert de 501 milliards de paramètres se télécharge ; un catalogue d'export exempte ce qui est déjà public. Le contrôle, lui, se joue de plus en plus en amont, dans les identifiants, les architectures et les listes de technologies.