Claves de OpenAI y Anthropic pudieron exponerse en OpenCode

OpenCode, la empresa que desarrolla el agente de programación del mismo nombre, informó el 17 de octubre en su cuenta oficial de X de una brecha de seguridad que alcanzó al 1.4 % de los usuarios de OpenCode Console. Todos ellos recibieron un aviso por correo.

El aviso habla de un acceso no autorizado a un sistema heredado que la compañía preparaba para retirar, según DEV Community. Las claves de terceros que cada usuario guardó en su espacio de Console "podrían haber quedado expuestas", y el aviso menciona a OpenAI y Anthropic como ejemplos. Una clave API es la credencial con la que una aplicación accede a un modelo de IA y lo paga el titular de la cuenta, así que un tercero que la consiga puede gastar a su nombre.

Según ese mismo medio, que reproduce las indicaciones del correo, OpenCode recomienda a quienes recibieron el correo sustituir esas claves en el panel de cada proveedor, cambiar la clave en las aplicaciones y en los secretos de integración continua donde estaba, y comprobar el consumo y la facturación a partir del 16 de octubre como mínimo. The420.in describe el mismo aviso.

Quien no recibió correo no se considera afectado, dice la empresa. OpenCode trabaja con Anthropic, OpenAI y Google en la remediación y el incidente sigue abierto. Las claves que los usuarios guardan en su propio equipo con el comando `/connect` no aparecen en lo que se conoce del aviso.

La empresa vincula la brecha con lo que llamó un "ataque de destilación a gran escala", término que suele referirse a entrenar un modelo con las respuestas de otro. No ha explicado qué relación tiene con el acceso al sistema heredado.

Faltan además cuatro datos: el número de cuentas que equivale al 1.4 %, la vía de entrada del atacante, la duración del acceso y si se llevó todas las claves o solo parte. Algunos usuarios han publicado cargos no autorizados de cientos de dólares, pero son reportes individuales: ni OpenCode ni los proveedores los han vinculado con el incidente. No hay un comunicado con detalles técnicos.