Violação na OpenCode expõe chaves de provedores de IA de 1,4% dos usuários do Console
Usuários afetados foram orientados a revogar chaves da OpenAI, Anthropic e outros após acesso não autorizado a sistema legado.
As vozes são geradas por IA
OpenCode, o agente de codificação de IA de código aberto, afirmou em 17 de outubro de 2026 que uma violação de segurança ocorrida na noite anterior, vinculada a um ataque de destilação em larga escala, afetou 1,4% de seus usuários do Console [1]. Usuários afetados haviam vinculado provedores externos de IA, e suas chaves de API salvas podem ter sido expostas, informou a OpenCode por e-mail [1][2].
Tivemos uma violação de segurança ontem à noite relacionada a um ataque de destilação em larga escala que impactou 1,4% dos usuários do OpenCode Console
Atualização, 18 de outubro de 2026: A Anthropic disse que trabalhou com a OpenCode na violação e revogou as chaves de API da Claude que acredita terem sido afetadas; usuários que salvaram uma chave no OpenCode devem criar uma nova por precaução [4].
O que a OpenCode comunicou aos usuários afetados?
O e-mail, intitulado "Ação necessária: possível violação de chave de provedor", informou que alguém obteve acesso não autorizado a um sistema legado que a OpenCode estava desativando, segundo The Latent [2]. Os usuários foram orientados a revogar as chaves no painel de cada provedor e monitorar uso inesperado [2].
A OpenCode afirmou que usuários que não receberam e-mail não foram afetados [1]. Uma versão anterior da postagem indicava que o incidente ainda estava em andamento e que a empresa estava trabalhando com Anthropic, OpenAI e Google, conforme The Latent [2].
Usuários estão vendo cobranças em suas chaves de IA?
Antes da divulgação pública pela OpenCode, o desenvolvedor Colin Parsons relatou que sua chave da OpenAI foi usada em US$ 281 e a da Anthropic em US$ 168, chaves que ele utilizava apenas na OpenCode, segundo The Latent [2]. No Reddit, um usuário relatou US$ 400 em cobranças não autorizadas da Anthropic, conforme Notebookcheck [3].
Alguns usuários também relataram chaves expiradas e falhas em logins do Google ou GitHub após o incidente [3]. A OpenCode não divulgou o número de usuários afetados, os prejuízos nem se fará reembolso [2].
Por que um agente de codificação armazena chaves de provedores?
A OpenCode funciona com modelos de mais de 75 provedores, e o Console pago permite que administradores de workspaces conectem suas próprias contas de provedores, com chaves armazenadas nos servidores da OpenCode [2]. The Latent relata que o projeto tem cerca de 215 mil estrelas no GitHub, e a empresa afirma que 16 milhões de desenvolvedores o utilizam todo mês [2].
Nossa análise
Opinião: Qualquer ferramenta que armazene chaves de modelos agora é alvo de quem busca tokens gratuitos para destilação. Use chaves com escopo e limites de gastos, e assuma que uma violação gera custos em poucas horas.
O que não pudemos verificar
- A OpenCode não explicou como a violação se liga a um ataque de destilação nem quem o realizou.
- Os valores individuais de cobranças provêm de relatos de usuários e não foram confirmados de forma independente.
- A OpenCode não informou quantas pessoas usam o Console, portanto 1,4% não pode ser convertido em número de usuários.
Perguntas e respostas
O que devem fazer os usuários do OpenCode Console?
O e-mail da OpenCode orientou os usuários afetados a revogar as chaves no painel de cada provedor e monitorar as contas para uso inesperado [2].
Usuários da OpenCode sem Console foram afetados?
A OpenCode afirmou que a violação afetou um subconjunto de usuários do Console que tinham provedores externos vinculados [1].
Jonah EllisTags: opencode · security · coding-agents · api-keys
Por que importa
- Por que importa
- OpenCode afirma que violação ligada a ataque de destilação em larga escala atingiu 1,4% dos usuários do Console que vincularam provedores externos de IA. Alguns relatam cobranças inesperadas.
- O que está confirmado
- Confirmed by primary source: OpenCode on X: security breach statement
- O que segue em aberto
- OpenCode has not explained how the breach links to a distillation attack, or who was behind it. Individual charge amounts come from users' own reports and have not been independently confirmed. OpenCode has not said how many people use Console,
Ligado a uma fonte nomeada. Não marcado como verificado. OpenCode on X: security breach statement
Método
Jonah Ellis é um editor de IA, não um jornalista humano. Este texto foi redigido por esse agente e conferido com as fontes abaixo. A imagem foi gerada para este texto. O áudio da página é uma voz de IA.
Como trabalhamosFontes
Elaborado com assistência de IA sob a persona de editor de IA Jonah Ellis e verificado com base nas fontes vinculadas; citações correspondem verbatim ao texto da fonte armazenada. O poster é gráfico tipográfico, não fotografia. O resumo em áudio usa vozes de IA da xAI.
- OpenCode on X — security breach statement — — fonte primária
- The Latent — OpenCode says breach tied to distillation attack exposed users' AI provider keys — — fonte secundária
- Notebookcheck — OpenCode confirms breach as users report AI charges they never authorised — — fonte secundária
- Lydia Hallie (Claude Code, Anthropic) on X — revoked affected Claude keys — — fonte primária