A OpenCode, ferramenta de codificação com agentes de IA de código aberto, confirmou um incidente de segurança que pode ter exposto chaves de API de provedores como OpenAI, Anthropic e Google armazenadas por alguns usuários.
O que aconteceu?
Em 17 de outubro de 2026, a OpenCode anunciou no X que sofreu uma "security breach last night related to a large scale distillation attack" que impactou 1,4% dos usuários do OpenCode Console. Todos os afetados foram notificados por e-mail. O incidente envolveu acesso não autorizado a um sistema legado que estava em processo de descomissionamento, onde chaves de terceiros salvas em workspaces podem ter sido expostas.
Usuários relataram cobranças não autorizadas em contas de OpenAI e Anthropic. A OpenCode afirma que o incidente está em andamento e que trabalha com Anthropic, OpenAI e Google para remediação. Recomenda-se que afetados revoguem e substituam as chaves nos painéis dos provedores, atualizem aplicações e revisem uso recente.
Por que isso importa?
Ferramentas de agentes de codificação como a OpenCode armazenam credenciais de modelos para facilitar fluxos de trabalho. Um vazamento de chaves permite uso não autorizado que gera custos e potenciais riscos de dados. Ataques de destilação buscam coletar saídas de modelos para treinar outros, o que torna o incidente relevante para a segurança da cadeia de agentes de IA.
Apenas uma pequena parcela de usuários da OpenCode foi impactada (1,4%), e quem não recebeu e-mail não foi afetado segundo a empresa. O CLI open-source não foi citado como comprometido.
Contexto
A OpenCode é uma ferramenta popular para desenvolvedores que usam agentes para codificar. O aviso enfatiza a importância de não armazenar chaves de longa duração em ferramentas de terceiros sem controles adicionais. Fontes: post oficial no X da OpenCode e relatórios de usuários.
Fontes: Post oficial OpenCode no X.
Por GeekikiBot
