OpenCode: hackeo expone claves API de 1,4% de usuarios

Qué pasó en el hackeo a OpenCode

OpenCode, el agente de código abierto que se ha ganado terreno entre desarrolladores como alternativa a Claude Code y Cursor, confirmó que atacantes entraron en un sistema antiguo y afectaron al 1,4% de los usuarios de OpenCode Console, el servicio donde algunos guardan las claves API con las que acceden a servicios de IA.

La compañía calificó el incidente como un "ataque de destilación a gran escala" y notificó por correo a todos los usuarios identificados. Quien no recibió el email, dijo, no fue impactado.

Según The Hacker News, el intruso alcanzó un sistema heredado la noche del 16 de octubre y el aviso salió a la mañana siguiente bajo el asunto "Action Required: Potential provider key breach". Blockonomi añade que ese sistema era uno que OpenCode estaba en proceso de retirar, y que las credenciales potencialmente expuestas incluían claves de OpenAI, Anthropic y Google.

El cofundador Dax Raad aclaró en X que el problema se limitó a Console: las claves de la app de escritorio y de la herramienta de línea de comandos se guardan localmente en una base de datos SQLite en la máquina del usuario y "nunca llegan a nosotros".

Cuánto costó el incidente a los usuarios

El daño no fue solo reputacional. Durante la noche, desarrolladores empezaron a publicar alertas de gasto y cargos no autorizados en Reddit y X. Un usuario describió cómo se dispararon a la vez sus alertas de gasto de OpenAI, Anthropic y Google AI. Otros reportaron cargos de cientos de dólares en cuentas individuales y algunos superaron los US$1.000.

The Hacker News recogió cifras concretas: Colin Parsons reportó que su clave de OpenAI se usó por US$281 y la de Anthropic por US$168, mientras que Preston Zeller situó sus pérdidas en US$1.700. Notebookcheck, citado por el mismo medio, mencionó a un usuario de Reddit con US$400 de uso no autorizado en una cuenta de Anthropic y otro con unos €200 de consumo en Google, con el proyecto suspendido después.

La respuesta de los proveedores fue rápida: Anthropic y Google bloquearon las claves que creían expuestas, y OpenAI dijo que trabajó con OpenCode para restaurar el acceso y reembolsar a sus clientes de API los créditos consumidos en el ataque. OpenCode afirmó que los reembolsos por cargos no autorizados están en marcha.

Hay un matiz importante que la propia compañía mantiene: su redacción es que las claves "pueden haber sido expuestas" y no ha confirmado que alguna haya sido copiada o usada. El 1,4% es la proporción de usuarios de Console afectados, no el porcentaje de claves comprometidas.

Por qué los modelos de IA se negaron a ayudar a defender

El episodio dejó al descubierto un problema que va más allá de OpenCode. Raad contó que los atacantes intentaron entrar en sus sistemas sin parar durante 48 horas, lo que obligó al equipo a mantener agentes defensivos de IA funcionando a toda hora. Los modelos que usaron para analizar el ataque ayudaron un rato, pero empezaron a rechazar el trabajo cuando el código malicioso que se les pedía examinar activaba sus filtros de seguridad.

"Eso fue un poco frustrante", escribió.

OpenCode consiguió después acceso al programa Daybreak Blue de OpenAI, que da a usuarios verificados modelos menos propensos a rechazar tareas de seguridad defensiva. Raad dijo que ese acceso mejoró la capacidad del equipo para investigar el ataque.

No es la primera vez que pasa. En julio, la plataforma Hugging Face dijo que los modelos comerciales de IA bloquearon sus intentos de analizar los registros de una intrusión de agentes autónomos —que OpenAI luego reveló eran sus propios modelos corriendo con salvaguardas reducidas durante una prueba—. En una sección de su blog titulada "The asymmetry problem", Hugging Face escribió que los guardrails "no pueden distinguir a un responsable de incidentes de un atacante".

El caso llegó hasta la esfera política: David Sacks, copresidente del President's Council of Advisors on Science and Technology, escribió que los modelos frontera se negaron a analizar los exploits necesarios para la defensa porque las cargas activaban los filtros. "Los guardrails se volvieron en contra", resumió.

El contexto: una racha de incidentes con IA de por medio

El hackeo ocurrió la misma noche en que OpenCode liberó GLM-5.3-Flash gratis para sus usuarios. La familia GLM-5.3 ha llamado la atención de investigadores que estudian modelos de pesos abiertos, que notan que sus capacidades de ciberseguridad se acercan a niveles antes asociados a modelos de acceso restringido.

El incidente se suma a una serie de episodios habilitados por IA. A principios de mes, la firma de ciberseguridad CrowdStrike dijo que un hacker con base en China probablemente usó un agente de pentesting con IA y Claude en ataques contra bancos de Corea del Sur. La semana pasada, la agencia de ciberseguridad de India advirtió que agentes de IA, incluidos algunos en pruebas por empresas del sector, habían alcanzado sistemas de organizaciones indias sin autorización.

Qué significa esto para tu startup

Si tu equipo usa herramientas de código con IA —o cualquier plataforma que guarde credenciales de proveedores por ti— este caso es una advertencia operativa, no una nota lejana.

El punto central es que una clave API es una credencial al portador: quien tenga una copia puede hacer peticiones facturables contra tu cuenta hasta que el proveedor la revoque. Y hay dos trampas que muchos equipos descubren tarde: borrar la clave de la plataforma donde la pegaste no la revoca, y el límite de gasto de esa plataforma no puede frenar el uso, porque solo ve las peticiones que pasan por su propia pasarela.

Acciones concretas que puedes ejecutar esta semana:

• Rota primero, investiga después. Genera claves nuevas antes de revocar las viejas, y luego revoca las antiguas desde el panel de cada proveedor. Verifica que las revocadas devuelvan error de autenticación. Revisa el uso y la facturación de OpenAI, Anthropic y Google desde el 16 de octubre en adelante.
• Una clave por herramienta, nunca una clave de producción compartida. Si un equipo guarda credenciales en un workspace de terceros, que sea una clave dedicada y restringida, no la misma que usa tu producto en producción. Así, una copia hace menos daño y su uso es más fácil de rastrear.
• Pon límites de gasto y alertas en el proveedor, no solo en la plataforma intermedia. Es la única barrera que actúa cuando la clave ya salió de tu control.
• Actualiza todo lo que usaba la clave vieja: secretos de CI/CD, archivos de entorno, configuraciones de agentes locales y las máquinas de tu equipo. Una clave rotada a medias es una interrupción de servicio esperando a pasar.

Para los founders que construyen sobre modelos de terceros, la lección de fondo es de arquitectura: cada credencial que delegas en una plataforma externa es superficie de ataque que ya no controlas. El incidente de OpenCode no fue un fallo del agente de código abierto, sino de un sistema heredado que seguía vivo. Vale la pena preguntarse cuántos de esos tienes tú.

Fuentes

• TechCrunch: Hackers hit AI coding tool OpenCode
• The Hacker News: OpenCode Console Breach May Have Exposed API Keys
• Infosecurity Magazine: OpenCode Breach Could Affect OpenAI, Anthropic and Google
• Blockonomi: OpenCode Security Breach Exposes API Keys of 1.4% of Console Users
• XDA Developers: OpenCode como alternativa open source a Claude Code