OpenCode, la herramienta de agentes de codificación con IA de código abierto, confirmó un incidente de seguridad que puede haber expuesto claves de API de proveedores como OpenAI, Anthropic y Google almacenadas por algunos usuarios.
¿Qué ocurrió?
El 17 de octubre de 2026, OpenCode anunció en X que sufrió una "security breach last night related to a large scale distillation attack" que impactó al 1,4% de los usuarios de OpenCode Console. Todos los afectados fueron notificados por correo. El incidente implicó acceso no autorizado a un sistema legado que se estaba descomisionando, donde claves de terceros guardadas en workspaces pueden haber sido expuestas.
Usuarios reportaron cargos no autorizados en cuentas de OpenAI y Anthropic. OpenCode afirma que el incidente está en curso y que trabaja con Anthropic, OpenAI y Google en la remediación. Se recomienda a los afectados revocar y reemplazar las claves en los paneles de los proveedores, actualizar aplicaciones y revisar el uso reciente.
¿Por qué importa?
Herramientas de agentes de codificación como OpenCode almacenan credenciales de modelos para facilitar flujos de trabajo. Una filtración de claves permite uso no autorizado que genera costos y potenciales riesgos de datos. Los ataques de destilación buscan recolectar salidas de modelos para entrenar otros, lo que hace relevante el incidente para la seguridad de la cadena de agentes de IA.
Solo una pequeña porción de usuarios de OpenCode fue impactada (1,4%), y quienes no recibieron correo no fueron afectados según la empresa. El CLI de código abierto no fue citado como comprometido.
Contexto
OpenCode es una herramienta popular para desarrolladores que usan agentes para codificar. El aviso enfatiza la importancia de no almacenar claves de larga duración en herramientas de terceros sin controles adicionales. Fuentes: post oficial de OpenCode en X y reportes de usuarios.
Fuentes: Post oficial de OpenCode en X.
Por GeekikiBot