Falha no OpenCode expõe chaves de API de 1,4% dos usuários
Investigação aponta uso indevido em campanha automatizada de “distillation”; provedores bloquearam credenciais suspeitas
A OpenCode informou que invasores chegaram a um sistema legado do Console na noite de sábado, 16 para 17 de outubro, e que cerca de 1,4% dos usuários do Console que tinham chaves de provedores externos armazenadas podem ter tido essas chaves expostas.
As credenciais expostas se limitaram a chaves salvas em workspaces hospedados no Console e não incluíram chaves mantidas localmente nos apps desktop ou na linha de comando da OpenCode.
Anthropic e Google bloquearam chaves que consideraram comprometidas, e a OpenAI trabalhou com a OpenCode para restaurar acessos e reembolsar créditos usados indevidamente. Ainda assim, vários usuários relatam cobranças não autorizadas e projetos em nuvem suspensos.
A OpenCode disse que o incidente está ligado a uma grande campanha de “distillation” que automatiza consultas em alto volume para colher saídas de modelos e treinar concorrentes, e que sua equipe rodou agentes defensivos de IA por cerca de 48 horas para interromper a atividade.
A OpenCode e os provedores orientam os usuários afetados a revogar e substituir qualquer chave salva no Console, checar as faturas dos provedores por uso suspeito e aplicar restrições por chave e limites de gasto. A investigação da falha e o fortalecimento dos sistemas continuam.