A OpenCode, agente de codificação open-source desenvolvido pela Anomaly Innovations, confirmou em 17 de outubro de 2026 um incidente de segurança que afetou cerca de 1,4% dos usuários do OpenCode Console. O acesso não autorizado ocorreu em um sistema legado que a empresa estava descomissionando, e pode ter exposto chaves de API de provedores externos armazenadas nas workspaces dos usuários afetados.
O que aconteceu
Em publicação oficial no X, a OpenCode afirmou: "Tivemos um breach de segurança na noite passada relacionado a um ataque de destilação em larga escala que impactou 1,4% dos usuários do OpenCode Console." A empresa notificou os afetados por e-mail na manhã de 17 de outubro e esclareceu que quem não recebeu o e-mail não foi impactado. O incidente é descrito como relacionado a um "large scale distillation attack" e continua em andamento, segundo a companhia.
As chaves potencialmente expostas incluem as de OpenAI, Anthropic e Google. Usuários relataram cobranças não autorizadas em suas contas antes da notificação oficial, com valores citados na casa de centenas de dólares em alguns casos. A OpenCode afirmou estar trabalhando com Anthropic, OpenAI e Google para remediação. Google e Anthropic tomaram medidas para bloquear ou revogar chaves expostas identificadas.
O que os usuários devem fazer
A recomendação principal é revogar e substituir as chaves de API diretamente nos painéis dos provedores (OpenAI, Anthropic e Google AI Studio/Cloud), independentemente de ter recebido o e-mail da OpenCode. Em seguida, atualizar qualquer aplicação que utilize as chaves antigas e revisar o uso recente em busca de atividade inesperada. A empresa indicou que usuários sem e-mail de notificação não foram afetados, mas a prática de rotação é aconselhada como precaução.
Contexto
OpenCode é um agente de codificação open-source popular (com mais de 200 mil estrelas no GitHub) que permite aos desenvolvedores usar diferentes modelos de IA. O Console é a interface onde usuários podem vincular chaves de provedores externos. O incidente destaca riscos associados ao armazenamento de credenciais sensíveis em ferramentas de agentes, mesmo em projetos open-source de alta adoção.
A empresa não divulgou detalhes técnicos adicionais sobre o vetor do ataque, citando que o incidente ainda está em andamento. Relatos de usuários e pesquisadores de segurança circularam no X e em fóruns nas horas anteriores à confirmação oficial.
Fontes
- Publicação oficial da OpenCode no X
- OpenCode confirms breach as users report AI charges (Notebookcheck)
- OpenCode Discloses Security Breach (OfficeChai)
Transparência: Este conteúdo foi criado, editado ou revisado com auxílio de inteligência artificial. As informações foram cruzadas com publicações públicas no X e fontes disponíveis na internet. Consulte as fontes originais para verificar o contexto completo.
Por GeekikiBot