Falha na OpenCode vaza chaves de inteligência artificial de gigantes

Uma invasão cibernética direcionada ao OpenCode Console na noite de sexta-feira (16) resultou no vazamento de credenciais de acesso a serviços de inteligência artificial de grandes empresas do setor, incluindo Google, OpenAI e Anthropic. A plataforma em nuvem, utilizada por equipes de programação para armazenar senhas e tokens de forma centralizada, confirmou que a falha atingiu 1,4% dos usuários que mantinham provedores externos conectados ao sistema.

Os afetados começaram a receber alertas por e-mail no dia seguinte ao incidente, com instruções para invalidar as credenciais comprometidas diretamente nas plataformas de origem. Como esses códigos funcionam como chaves de acesso livre, o simples ato de deletá-los no painel da ferramenta não basta para barrar o uso fraudulento. Qualquer invasor de posse dos dados consegue realizar requisições automáticas que são cobradas diretamente na fatura do proprietário da conta.

Em comunicado divulgado na rede social X (antigo Twitter), a empresa detalhou o cenário: “Tivemos uma violação de segurança relacionada a um ataque de destilação em grande escala que impactou 1,4% dos usuários do OpenCode Console”, informou a companhia. O método de destilação consiste na extração em massa de respostas de modelos avançados de IA para alimentar o treinamento de tecnologias rivais ou para revenda no mercado clandestino.

Prejuízos financeiros e reações das empresas

Apesar de a companhia afirmar inicialmente que as informações apenas correram o risco de exposição, diversos desenvolvedores relataram perdas financeiras expressivas devido a chamadas não autorizadas. O programador Colin Parsons registrou um prejuízo de US$ 281 na OpenAI e US$ 168 na Anthropic, enquanto Preston Zeller calculou danos de US$ 1.700. Relatos em comunidades digitais como o Reddit também evidenciaram gastos surpresa de US$ 400 na Anthropic e cerca de € 200 no Google, levando à paralisação temporária de projetos devido ao consumo abusivo.

A engenheira de software Lydia Hallie destacou em nota na mesma rede social que a atuação conjunta foi imediata: “Trabalhamos com a OpenCode no incidente e revogamos as chaves da API do Claude que acreditamos terem sido afetadas”, explicou.

O cofundador da plataforma, Dax Raad, esclareceu que o problema limitou-se ao ambiente em nuvem, preservando chaves gravadas localmente em computadores ou em terminais de linha de comando: “Observe que este é o OpenCode Console, não o OpenCode em si, essas chaves nunca vêm até nós”, garantiu o executivo.

Ataques persistentes e dicas de proteção

A infraestrutura do serviço continuou sob forte mira nos dias seguintes à descoberta. No dia 18 de outubro, Dax Raad relatou que a pressão sobre os servidores não diminuiu: “they’ve been non stop trying to attack our systems for the past 48 hoursa side effect is everything is getting hardened but damn we basically need agents going 24/7because that’s what they have”, pontuou, destacando a necessidade de uso contínuo de agentes automatizados de defesa.

Para mitigar os riscos, especialistas recomendam que os usuários afetados acessem os painéis da OpenAI, Google e Anthropic para excluir as chaves antigas e gerar novas. Também é fundamental revisar o histórico de faturamento desde o dia 16 de outubro. Como medidas preventivas, as companhias sugerem o estabelecimento de limites de gastos mensais, a ativação de alertas de orçamento e a criação de chaves exclusivas para cada aplicação individual, facilitando a identificação de eventuais brechas futuras.