OpenCode notifica usuários sobre exposição de chaves de API em ataque de destilação
22 de outubro de 2026 · 2 min de leitura
O projeto de código aberto OpenCode informou alguns usuários de que chaves de API armazenadas foram expostas em uma violação de segurança. O incidente levou a cobranças não autorizadas e projetos suspensos no Google Cloud. Segundo o mantenedor do projeto, a violação afetou 1,4% dos usuários da OpenCode Console, com alguns relatando mais de 1.700 dólares em cobranças não autorizadas durante a noite.
O OpenCode é um agente de codificação de IA agnóstico a modelos, que ajuda os usuários a entender código, escrever recursos e corrigir bugs usando instruções em linguagem natural, através de um terminal, aplicativo de desktop ou editor de código. Os usuários podem conectar modelos de IA de múltiplos provedores ao console OpenCode para agilizar e automatizar o processo de desenvolvimento.
No sábado, o OpenCode anunciou que sofreu um grande ataque de destilação que impactou apenas desenvolvedores que vinculavam provedores externos, incluindo Anthropic, OpenAI e Google. O mantenedor do projeto afirmou que o ataque durou pelo menos 48 horas usando agentes de IA. A investigação foi bloqueada quando os modelos de IA começaram a recusar solicitações devido a salvaguardas integradas. A situação estabilizou após o OpenCode começar a usar o modelo Daybreak AI da OpenAI para trabalho defensivo, aprovado no sábado.
O e-mail enviado aos usuários afetados indica que a exposição mais cedo possível das chaves dos usuários ocorreu em 17 de outubro de 2026, 00:30 UTC, e que nenhum dado parece ter sido exposto. O OpenCode também afirmou que está trabalhando com Google, OpenAI e Anthropic para abordar o incidente, mas não pode compartilhar mais detalhes por enquanto.
Relatos de usuários afirmam cobranças roubadas após o vazamento de chaves privadas, variando de alguns centenas de dólares a até 1.700 dólares. A mensagem do OpenCode aos usuários afetados menciona a possibilidade de reembolso para os impactados. Alguns usuários relataram que o Google suspendeu seus projetos após detectar "atividade abusiva consistente com recursos sequestrados".