Na noite de sexta-feira (16), invasores entraram em um sistema antigo do OpenCode que a própria empresa já estava desligando. De lá saíram as chaves de OpenAI, Anthropic e Google que parte dos clientes do serviço pago OpenCode Console tinha guardado. A equipe confirmou o caso no X no sábado (17) e disse que 1,4% dos usuários do Console foram atingidos. Para alguns, o problema já chegou como fatura: há relatos de cobranças de centenas de dólares feitas por estranhos, em contas que só os donos deveriam usar.
O OpenCode (abre em nova aba) é um agente de programação com IA, de código aberto, usado no terminal (a tela de comandos do computador). Ele é mantido pela Anomaly Innovations, empresa antes chamada SST. A ferramenta trabalha com modelos de vários fornecedores, e o usuário pode conectar as próprias chaves de API. O Console é a parte paga, hospedada pela empresa. As chaves vazadas estavam salvas nos espaços de trabalho (os workspaces) dessa conta online.
O prejuízo vem do jeito como a chave funciona. Ela autoriza um programa a usar um modelo de IA em nome de alguém, e a cobrança vai para o dono da chave. Quem consegue uma cópia não precisa de senha nem de cartão de crédito. Basta usá-la.
O que o OpenCode admitiu
No post público, a equipe escreveu que teve "uma violação de segurança ontem à noite relacionada a um ataque de destilação em larga escala" (tradução livre). Segundo a empresa:
- todos os afetados receberam e-mail pela manhã, e quem não recebeu a mensagem não foi atingido;
- o problema se limita a uma parte dos clientes que tinham conectado fornecedores externos;
- o incidente seguia em andamento, por isso não haveria mais detalhes por enquanto;
- a correção está sendo feita em conjunto com Anthropic, OpenAI e Google.
O e-mail, com o assunto "Action Required: Potential provider key breach", é mais específico. Ele fala em acesso não autorizado a um "sistema legado" que estava sendo desativado. Avisa que chaves de terceiros salvas no workspace, como as de OpenAI e Anthropic, "podem ter sido expostas". E pede três coisas: revogar e substituir as chaves no painel de cada fornecedor, atualizar os aplicativos que as usam e revisar o uso recente em busca de atividade estranha. Um segundo e-mail chegou no fim da noite de sábado, pelo horário de Brasília, com o detalhe de quais chaves foram afetadas. A informação é do site Startup Fortune, com base numa linha do tempo montada por um desenvolvedor japonês.
A ordem dos acontecimentos importa. Pelo horário de Brasília:
- às 11h14 de sábado, o aviso aos clientes já circulava no fórum do OpenCode no Reddit;
- às 12h30, o pesquisador de segurança Matt Johansen publicou a imagem do e-mail no X com a frase "Confirmed. OpenCode hacked. Keys stolen." ("Confirmado. OpenCode hackeado. Chaves roubadas.");
- às 15h08 saiu o comunicado oficial;
- pouco mais de meia hora depois, o cofundador Dax Raad escreveu que suas contas pessoais também estavam "sendo atacadas agora".
A conta chegou antes do aviso
Desenvolvedores contaram no X que os alertas de gasto dos fornecedores começaram a disparar ainda de madrugada. No Reddit, segundo o Notebookcheck:
- um usuário relatou US$ 400 em cobranças não autorizadas na Anthropic;
- outro disse que o uso no Google chegou a cerca de € 200 e que seu projeto foi suspenso por abuso excessivo;
- um terceiro afirmou ter recebido alertas da OpenAI e da Anthropic antes de qualquer aviso do OpenCode.
São relatos de usuários. A empresa não divulgou nenhum valor de prejuízo.
Houve efeito colateral até para quem não sabe se foi atingido. Usuários relataram chaves do próprio serviço OpenCode expiradas e falhas ao entrar com conta Google ou GitHub, com a mensagem "Unable to start social login". Segundo os relatos, um deles só conseguiu gerar uma chave nova depois de várias tentativas, e outro disse que a substituta também não funcionava.
"Ataque de destilação" explica pouco
Destilar um modelo é treinar um modelo mais fraco com as respostas de um mais forte. A Anthropic descreveu a prática num texto sobre como detectar e evitar ataques de destilação (abre em nova aba), publicado em fevereiro, e vem alertando para campanhas desse tipo feitas sem autorização e em grande volume. Faz sentido querer chaves alheias para isso: cada pergunta enviada a um modelo de ponta sai de graça para o invasor e cara para a vítima.
Mas o rótulo veio do próprio OpenCode, e só dele. O comunicado não explica como as chaves expostas teriam alimentado esse tipo de operação. Também não nomeia um atacante nem apresenta prova técnica da ligação. Nenhum dos três fornecedores confirmou publicamente essa versão. O termo ainda desvia o foco. Destilação seria, no máximo, o que o invasor quis fazer com as chaves. A falha que interessa ao cliente é outra: chaves de terceiros guardadas num sistema que a empresa já ia aposentar, e que alguém conseguiu abrir.
Os desenvolvedores perceberam. No agregador daily.dev, o termômetro da discussão sobre o anúncio marcava 68% de reações céticas. Muitos pedem reembolso e uma explicação de como as chaves vazaram, e duvidam que "destilação" seja a história real, e não um vazamento comum. Há quem elogie a rapidez do aviso, e as duas coisas podem valer ao mesmo tempo: avisar cedo foi certo, e o vocabulário escolhido explicou pouco.
O que ainda não se sabe
- Quantas contas são 1,4%. O percentual se refere aos usuários do Console, não a toda a base do OpenCode. Sozinho, ele não mede quanto foi exposto nem quanto se perdeu.
- Como o invasor entrou e por quanto tempo ficou. A empresa não disse.
- Se todas as chaves do grupo afetado foram levadas ou usadas. O e-mail fala em exposição possível, não em roubo confirmado de cada uma.
- Quem paga a conta. Não está claro como as cobranças serão tratadas, e o OpenCode não disse se vai ressarcir alguém.
Também não há indicação de que OpenAI, Anthropic ou Google tenham sido invadidas. O problema aconteceu no OpenCode. Nada do que foi divulgado confirma vazamento de código ou de conversas dos usuários.
Quem precisa agir
O comunicado trata apenas do Console, e só de clientes que conectaram fornecedores externos. Não menciona a versão de código aberto instalada no computador nem outros serviços da empresa. Pela regra do OpenCode, quem não recebeu e-mail está fora do grupo afetado.
Mesmo assim, se você já salvou uma chave no Console, troque. O incidente estava em andamento quando a empresa falou. Ela ainda não explicou como o invasor entrou. E o próprio cofundador relatou ataques às suas contas horas depois. Trocar uma chave leva minutos. Confiar no alcance anunciado, se ele estiver errado, pode sair caro na fatura.
- Entre no painel de cada fornecedor (OpenAI, Anthropic, Google) e revogue toda chave que esteve salva no Console.
- Gere uma chave nova e atualize os programas e automações que usavam a antiga. Sem isso, eles param de funcionar.
- Confira uso e faturamento desde sexta-feira (16). Procure picos de consumo e modelos que você não costuma usar.
- Defina um limite de gasto para a chave nova, como recomendam especialistas que acompanham o caso.
- Se encontrar cobrança indevida, guarde os registros e o e-mail do OpenCode e abra um chamado no suporte do fornecedor.
A proposta do OpenCode é deixar o desenvolvedor escolher o modelo e usar a própria chave. Quando essa chave fica no servidor de outra empresa, a segurança da sua fatura passa a depender dos sistemas dela, inclusive dos que ela própria já tratava como velhos demais para manter. O OpenCode diz que dará mais detalhes quando o incidente for contido. Faltam duas respostas: como o invasor entrou e quem vai cobrir as cobranças que os clientes não fizeram.