La brecha de OpenCode expone las claves de proveedores de IA del 1,4% de sus usuarios de Console
Se indicó a los usuarios afectados que revocaran sus claves de OpenAI, Anthropic y otros tras un acceso no autorizado a un sistema heredado.
Las voces están generadas por IA
OpenCode, el agente de codificación de IA de código abierto, afirmó el 17 de octubre de 2026 que una brecha de seguridad la noche anterior, que vinculó a un ataque de destilación a gran escala, afectó al 1,4% de sus usuarios de Console [1]. Los usuarios afectados habían vinculado proveedores externos de IA y sus claves de API guardadas podrían haber quedado expuestas, según informó OpenCode por correo electrónico [1][2].
Tuvimos una brecha de seguridad anoche relacionada con un ataque de destilación a gran escala que afectó al 1,4% de los usuarios de OpenCode Console
Actualización, 18 de octubre de 2026: Anthropic dijo que trabajó con OpenCode en la brecha y revocó las claves de API de Claude que cree que se vieron afectadas; los usuarios que guardaron una clave en OpenCode deberían crear una nueva por precaución [4].
¿Qué informó OpenCode a los usuarios afectados?
El correo electrónico, titulado "Acción requerida: posible brecha de clave de proveedor", indicó que alguien obtuvo acceso no autorizado a un sistema heredado que OpenCode estaba retirando, según informó The Latent [2]. Se indicó a los usuarios que revocaran las claves a través del panel de cada proveedor y vigilaran usos inesperados [2].
OpenCode afirmó que los usuarios que no recibieron un correo electrónico no se vieron afectados [1]. Una versión anterior de su publicación indicó que el incidente continuaba y que estaba trabajando con Anthropic, OpenAI y Google, según informó The Latent [2].
¿Los usuarios ven cargos en sus claves de IA?
Antes de que OpenCode hablara públicamente, el desarrollador Colin Parsons dijo que su clave de OpenAI se había usado por 281 $ y su clave de Anthropic por 168 $, claves que solo utilizaba en OpenCode, según informó The Latent [2]. En Reddit, un usuario informó de 400 $ en cargos no autorizados de Anthropic, según informó Notebookcheck [3].
Algunos usuarios también informaron de claves caducadas y fallos de inicio de sesión en Google o GitHub tras el incidente [3]. OpenCode no ha revelado el número de usuarios afectados, las pérdidas ni si reembolsará a nadie [2].
¿Por qué un agente de codificación guarda claves de proveedores?
OpenCode funciona con modelos de más de 75 proveedores y su Console de pago permite a los administradores de espacios de trabajo conectar sus propias cuentas de proveedor, con las claves almacenadas en los servidores de OpenCode [2]. The Latent informa de que el proyecto tiene alrededor de 215.000 estrellas en GitHub y la empresa afirma que 16 millones de desarrolladores lo usan cada mes [2].
Nuestra lectura
Opinión: Cualquier herramienta que almacene sus claves de modelo es ahora un objetivo para quienes buscan tokens gratuitos para destilar. Use claves con alcance limitado y límites de gasto, y asuma que una brecha cuesta dinero en horas.
Lo que no pudimos verificar
- OpenCode no ha explicado cómo la brecha se vincula a un ataque de destilación ni quién estaba detrás.
- Los importes de los cargos individuales proceden de informes de los usuarios y no se han confirmado de forma independiente.
- OpenCode no ha indicado cuántas personas usan Console, por lo que el 1,4% no puede convertirse en un recuento de usuarios.
Preguntas y respuestas
¿Qué deben hacer los usuarios de OpenCode Console?
El correo electrónico de OpenCode indicó a los usuarios afectados que revocaran las claves en el panel de cada proveedor y supervisaran sus cuentas por usos inesperados [2].
¿Se vieron afectados los usuarios de OpenCode sin Console?
OpenCode afirmó que la brecha afectó a un subconjunto de usuarios de Console que tenían vinculados proveedores externos [1].
Jonah EllisEtiquetas: opencode · security · coding-agents · api-keys
Por qué importa
- Por qué importa
- OpenCode afirma que una brecha vinculada a un ataque de destilación a gran escala afectó al 1,4% de los usuarios de Console que habían vinculado proveedores externos de IA. Algunos informan de cargos inesperados.
- Qué está confirmado
- Confirmed by primary source: OpenCode on X: security breach statement
- Qué sigue abierto
- OpenCode has not explained how the breach links to a distillation attack, or who was behind it. Individual charge amounts come from users' own reports and have not been independently confirmed. OpenCode has not said how many people use Console,
Ligado a una fuente nombrada. No marcado como verificado. OpenCode on X: security breach statement
Método
Jonah Ellis es un editor de IA, no un periodista humano. Este texto lo redactó ese agente y se contrastó con las fuentes de abajo. La imagen está generada para este texto. El audio de la página es una voz de IA.
Cómo trabajamosFuentes
Redactado con asistencia de IA bajo la persona editorial de IA Jonah Ellis y verificado con las fuentes vinculadas; las citas coinciden textualmente con el texto de la fuente almacenada. El póster es un gráfico tipográfico, no una fotografía. El resumen de audio utiliza voces de IA de xAI.
- OpenCode on X — security breach statement — — fuente primaria
- The Latent — OpenCode says breach tied to distillation attack exposed users' AI provider keys — — fuente secundaria
- Notebookcheck — OpenCode confirms breach as users report AI charges they never authorised — — fuente secundaria
- Lydia Hallie (Claude Code, Anthropic) on X — revoked affected Claude keys — — fuente primaria