Hacker News Digest

Компания OpenCode сообщила о взломе системы безопасности, произошедшем минувшей ночью. Инцидент связан с масштабной атакой типа «дистилляция» (distillation attack) и затронул 1,4% пользователей OpenCode Console. Всех пострадавших уведомили по электронной почте утром. Расследование продолжается, поэтому подробности пока не раскрываются, но компания уже работает над устранением последствий совместно с Anthropic, OpenAI и Google.

Реакция пользователей в комментариях выдаёт тревогу: один из них заявил, что потерял 138 долларов, и спросил, будет ли компенсация. Другой усомнился в самой формулировке, отметив, что «дистилляционная атака», приведшая к утечке ключей, звучит странно. Публикация набрала более 21,6 тыс. просмотров, а позже появилась обновлённая версия сообщения.

Ключевое, что стоит запомнить: под удар попал небольшой, но конкретный сегмент — 1,4% пользователей консоли, а к разбирательству привлечены сразу три крупнейших игрока рынка ИИ.

Утечка затронула только пользователей облачного OpenCode Console, где хранились API‐ключи; локальный CLI и .env‐файлы не пострадали. Пользователям рекомендуется немедленно отозвать и заменить скомпрометированные ключи у провайдеров (OpenAI, Anthropic и др.). Сообщество требует от OpenCode предоставить детальный пост‐мортем, включая описание механизма «distillation attack», и добавить endpoint «invalidate_api_key» для мгновенной инвалидизации ключей. Есть разногласия: некоторые считают, что утечка могла затронуть локальные файлы, другие уверены, что атака ограничилась бекендом и не была цепочкой поставок.

OpenCode 2.0 — крупное обновление агентной среды разработки, основанное на опыте миллионов ежедневных пользователей. Ключевое изменение — сервер теперь автоматически работает как единый фоновый процесс на машине: интерфейс TUI, веб-версия и десктопное приложение обращаются к одному центральному процессу. Программный клиент @opencode/client автоматически находит локальный сервис, что удобно для запланированных задач; сервер можно открыть другим хостам через команды /pair или opencode pair.

API переписан с нуля: старый рос хаотично и был плох, новый поддерживает почти любые сценарии. OpenCode осведомлён о собственном API и вызывает его — например, переносит текущую сессию в git worktree при начале новой работы. Выпущен новый пакет @opencode/client с клиентами для обычного JavaScript и Effect.

Режим Code Mode использует минимальный интерпретатор JavaScript из @opencode/codemode: он превращает MCP-серверы и OpenAPI-эндпоинты в функции, которые агент вызывает в скрипте — один круговой обход вместо множества вызовов, а все MCP-серверы по умолчанию работают через codemode без раздувания контекста. Добавлены фоновые субагенты (в том числе с другой моделью) и асинхронные shell-команды. Почти все функции 2.0 реализованы как внутренние плагины (их более 80), TUI-плагины стабильны, всё поддерживает горячую перезагрузку — агент может написать плагин для себя прямо в сессии. Пакет @opencode/sdk позволяет использовать OpenCode как библиотеку. При обновлении учтите несовместимости: плагины 1.0 не работают, серверный API полностью изменён, tui.json переименован в json.

OpenCode 2.0 привёл к значительным улучшениям в клиент‐/серверной архитектуре и плагинах: плагины и навыки автоматически перезагружаются, конфигурацию можно редактировать через встроенный навык, а переход на клиент‐/серверную модель повысил удобство использования. Автоматический GitHub‐апп для трекинга багов запускает тесты, получает реплики и записывает видео TUI‐ошибок, ускоряя отладку до двух минут. Опция opentunnel позволяет пробрасывать любые сервисы через уникальный поддомен *.opentunnel.xyz, упрощая удалённый доступ без дополнительной настройки. Однако версия выявила проблемы: высокое потребление памяти (до 2 ГБ), недостаточную безопасность постоянного демона, ограниченную поддержку прокси (отсутствие SOCK5 в HTTPS_PROXY), медленную работу веб‐интерфейса и сложности с буфером обмена в Ubuntu/X11. Некоторые пользователи считают постоянный демон нежелательным по умолчанию, другие — необходимым для согласованной работы клиент‐сервера. Практические советы: для ускорения установки перенаправлять вывод скрипта через cat (чтобы избежать медленного рендеринга прогресс‐бара); при переходе на 2.0 добавить отдельный sandbox (bubblewrap, firejail) вокруг клиента, так как прежний песочничный слой может стать неэффективным из‐за вызова всех инструментов через фоновой процесс; для Ubuntu/X11 проверять настройки X11‐clipboard или использовать альтернативный менеджер буфера обмена; мобильным пользователям рекомендуется использовать десктопный клиент или упрощённый UI из‐за тяжелой читаемости сайта на телефонах; для снижения нагрузки на диск регулярно очищать временные файлы (в прошлом OpenCode заполнял 2 ТБ хранилища). OpenCode 2.0 сохраняет бесплатный tier без логина, упрощая быстрый старт и привлекая новых пользователей. Пользователи ценят возможность запускать нативные приложения, подключающиеся к серверу OpenCode, что упрощает работу на удалённых хостах и делает модель более гибкой.

Claude Code требует в среднем в 4–5 раз больше токенов, чем OpenCode, прежде чем приступить к выполнению задачи. При запросе одной строки он расходует около 33 000 токенов системного промпта, схемы инструментов и вспомогательного кода, тогда как OpenCode использует лишь около 7 000. Это приводит к значительным расходам на кэширование: в реальном рабочем наборе Claude Code переписывает до 54 раз больше токенов кэша, а каждый запись кэша стоит дороже, что заметно повышает счёт за API‑вызовы.

Кроме базового расхода, в запрос добавляются файлы инструкций (обычно около 72 КБ, что добавляет ≈ 20 000 токенов) и несколько MCP‑серверов, суммируя ещё 5–7 тысяч токенов. При работе с несколькими под‑агентами один и тот же простой запрос может обойтись в 513 000 токенов вместо 121 000, потому что каждый под‑агент требует собственного «bootstrap‑а». Тем не менее, в мультишаговых сценариях Claude Code иногда экономит токены, группируя вызовы инструментов, тогда как OpenCode платит за каждый отдельный шаг. Итог: при реальном использовании Claude Code часто обходится дороже из‑за высокого стартового расхода и неэффективного кэша.

• Разные агенты сильно различаются по потреблению токенов: Claude Code часто тратит десятки тысяч токенов, тогда как Pi или OpenCode используют лишь несколько тысяч.
• Высокая стоимость обусловлена не только размером системного промпта, но и неэффективным управлением под‑агентами и частыми обращениями к инструментам.
• Кэширование токенов может значительно снизить расходы, однако многие платформы не используют его эффективно, что усиливает «токен‑фляцию».
• Пользователи отмечают, что простые решения (например, собственные лёгкие харнесы или альтернативные модели) дают лучший контроль над затратами и прозрачностью работы.