La consola retirada de OpenCode filtró las claves de proveedores de IA de los usuarios, y algunas de las facturas ya se habían generado

OpenCode, el agente de programación de código abierto creado por Anomaly (antes SST), reveló el 17 de octubre de 2026 que un tercero no autorizado había accedido a un sistema heredado de Console que estaba en proceso de desmantelamiento, y que las claves de proveedores de IA de terceros almacenadas en los espacios de trabajo de algunos usuarios "podrían haberse visto expuestas" — entre ellas, credenciales de O​penAI, A​nthropic y G​oogle. OpenCode dijo que la brecha afectó a alrededor del 1,4 % de los usuarios de Console, concretamente "un subconjunto de usuarios que tenían proveedores externos vinculados", y que había enviado un correo electrónico a todas las cuentas afectadas. La empresa describió el incidente como "un ataque de destilación a gran escala". En menos de un día, usuarios identificados dijeron a los periodistas que las claves se habían utilizado: Dealroom informó de 281 USD en cargos en la clave de O​penAI de un usuario y 168 USD en la clave de A​nthropic del mismo usuario, más de 700 USD en otra cuenta, y 1.700 USD en una tercera.

Esa brecha —entre la declaración de una empresa sobre un porcentaje y los usuarios que tienen las facturas en la mano— es toda la historia de este registro. La divulgación es breve, la explicación técnica está ausente y la explicación financiera proviene de las personas a las que se les facturó.

Lo que dijo OpenCode, en sus propias palabras

La publicación pública de la empresa tenía tres frases. «Tuvimos una brecha de seguridad anoche relacionada con un ataque de destilación a gran escala que afectó al 1,4 % de los usuarios de OpenCode Console», decía, según el texto citado en Hacker News y por OfficeChai. «Se lo hemos notificado a todos esta mañana por correo electrónico. Si no recibiste un correo electrónico, no te viste afectado; se trataba de un subconjunto de usuarios que tenían proveedores externos vinculados».

Un aviso comunitario algo más extenso, publicado por el equipo de OpenCode y reproducido en Hacker News, añadió el mecanismo, según lo que la empresa ha descrito hasta ahora: «Identificamos acceso no autorizado a un sistema heredado que estábamos en proceso de retirar de servicio. Es posible que se hayan visto expuestas las claves de proveedores de terceros (p. ej., OpenAI, Anthropic) guardadas en su espacio de trabajo. Revóquelas y sustitúyalas a través del panel del proveedor correspondiente, actualice cualquier aplicación que las utilice y revise el uso reciente en busca de actividad inesperada. Lamentamos que esto haya ocurrido y haremos un seguimiento con cualquier actualización.»

Lo que la empresa no publicó es tan importante como lo que sí publicó. A fecha de 19 de octubre de 2026, no hay causa raíz, ni descripción de cómo se llegó al sistema heredado, ni declaración de cuánto tiempo tuvo acceso un intruso, ni recuento absoluto de cuentas afectadas detrás de la cifra del 1,4 %, ni cifra de pérdida total, ni política de reembolso, ni análisis posterior al incidente. OpenCode dijo en ese momento que «el incidente está en curso, por lo que no podemos compartir más detalles en este punto». CyberSecurityNews señaló las mismas ausencias y añadió que OpenCode no aportó ninguna prueba técnica que vinculara las credenciales expuestas con la actividad de destilación.

La cronología y dónde divergen los informes

La publicación de OpenCode está fechada el 17 de octubre de 2026 y se refiere a la brecha como ocurrida "anoche", lo que sitúa la intrusión durante la noche entre el 16 y el 17 de octubre. El envío a Hacker News de la declaración de la empresa tiene una marca de tiempo de las 18:01 UTC del 17 de octubre. Dos días después, el cofundador Dax Raad dijo que los atacantes habían estado "intentando atacar nuestros sistemas sin parar durante las últimas 48 horas", y que "ahora también están atacando mis cuentas personales", describiéndolo como "un mundo completamente nuevo con hacking impulsado por IA" (OfficeChai).

El momento de las notificaciones es el único punto en el que los relatos publicados no coinciden. OpenCode dijo que había notificado a los usuarios afectados "esta mañana". Startup Fortune informó de que Anomaly envió un correo electrónico a los usuarios afectados el 17 de octubre, pero señaló que las fuentes discrepan sobre si los avisos se enviaron en la mañana del 17 o del 18; OfficeChai, que fechó tanto las publicaciones de OpenCode como las de Raad el 17 de octubre, situó el comunicado a la comunidad y los correos electrónicos en la mañana del 18 de octubre. Startup Fortune también informó de que se pidió a los usuarios que revisaran los registros de facturación y uso que se remontaban al 17 de octubre —un límite temporal que importa, porque algunos usuarios reportaron cargos inexplicables antes de que llegara el primer aviso.

Qué se almacenó y por qué importó

La exposición es específica de OpenCode Console, el panel alojado donde residen las cuentas, las suscripciones y las credenciales de proveedores vinculadas, no del CLI de código abierto de forma aislada. Dealroom informó de que Console almacena las claves de proveedor de los usuarios en los servidores de OpenCode, y de que OpenCode admite modelos de más de 75 proveedores, con usuarios que aportan sus propias claves API privadas. Ese diseño es lo que convirtió una brecha en un sistema interno en una brecha de credenciales custodiadas en tres laboratorios de IA distintos a la vez.

OpenCode nombró a OpenAI, Anthropic y Google como los proveedores cuyas claves estaban dentro del alcance, y dijo que estaba trabajando con los tres "para remediar el problema". La única acción del lado del proveedor reportada hasta ahora llegó de segunda mano: Dealroom informó que Anthropic dijo que revocó las claves de API de Claude afectadas. Ni OpenAI ni Google han sido citados directamente en la cobertura revisada para este artículo, y ningún proveedor ha publicado su propia declaración.

Las facturas que los usuarios dicen que llegaron

El perjuicio económico no proviene de la divulgación de OpenCode —la empresa no ha publicado ninguna cifra de pérdidas—, sino de usuarios individuales que hablaron con periodistas. El relato de Dealroom, publicado el 18 de octubre, nombra a tres:

• Colin Parsons, cuya clave de O​penAI fue, en palabras del medio, «machacada» por un valor de $281, y cuya clave de A​nthropic fue cobrada con $168.

• Preston Zeller, quien reportó pérdidas de $1,700.

• Francisco Giancarelli, que vio más de $700 en uso de OpenAI antes de detenerlo.

Cryptobriefing, que no identificó a personas concretas, describió facturas que «ascienden a los cientos de dólares» y declaró claramente que el material de origen no especifica cómo se gestionarán los cargos por consultas no autorizadas. Eso sigue siendo cierto dos días después: no se ha publicado ningún compromiso de reembolso.

Se alegan otras dos categorías de daño, pero no están verificadas. Startup Fortune informó que un usuario dijo que Google suspendió su proyecto de Google Cloud después del incidente, y otro dijo que OpenAI eliminó su cuenta por una violación de los términos relacionada con este — publicaciones individuales en X que el medio dijo que no podía verificar. Por separado, el propio rastreador de problemas de GitHub de OpenCode contiene informes presentados por usuarios que encajan mal con la línea de la empresa de que «si no recibiste un correo electrónico, no te viste afectado». La incidencia n.º 56833, presentada el 18 de octubre, proviene de un suscriptor que dice que su espacio de trabajo nunca contuvo una clave de OpenAI, Anthropic o Google — solo una clave de OpenCode Go —, pero su clave fue revocada sin que se estableciera una fecha de expiración, y que pide una política de compensación que no se ha publicado. La incidencia n.º 56703, presentada el mismo día, informa de espacios de trabajo que muestran «Workspace access restricted» desde el 17 de octubre, según un usuario que dice que no recibió ningún correo sobre la brecha. Estos son informes de usuarios no confirmados, no declaraciones de la empresa, pero indican que la remediación tocó cuentas fuera del subconjunto al que se enviaron correos electrónicos.

«Ataque de destilación»: qué está haciendo esa frase

El encuadre de OpenCode es una afirmación sobre el motivo, no una descripción de vulnerabilidad, y la empresa no ha publicado nada que lo respalde. Cryptobriefing describió el propósito aparente como recopilar resultados de modelos de alta calidad que podrían usarse para entrenar modelos competidores sin pagar por la computación o la investigación original, y señaló que Anthropic había descrito métodos de destilación similares en febrero de 2026. Eso es una reconstrucción plausible de la intención. No es evidencia sobre quién hizo esto ni sobre qué ejecutó.

La afirmación suscitó un escepticismo inmediato entre investigadores y usuarios. Startup Fortune citó al investigador Nathan Lambert preguntando si «destilación» significaba entrenar modelos posteriores «o algún otro patrón raro y turbio para usar tokens obtenidos ilegalmente», y citó a un usuario que objetaba que «Claves de clientes comprometidas. ¿Presuntamente usadas para destilación? Esto no es un ataque de destilación». En Hacker News, los comentaristas insistieron en el mismo punto: que el encuadre proviene de una empresa cuyos proveedores han pasado el año argumentando que la destilación es una amenaza comercial existencial, y que no se han publicado registros de consultas, análisis de tráfico ni atribución. La distinción importa para cualquiera que lea el registro más adelante: una brecha de credenciales está establecida; el propósito que hay detrás se afirma.

¿Qué cambió tras la revelación?

Las instrucciones de OpenCode a los usuarios afectados fueron revocar y reemplazar cada clave de proveedor vinculada mediante los paneles de OpenAI, Anthropic y Google, actualizar cada aplicación que use esas claves y revisar el uso y la facturación del proveedor en busca de actividad inesperada. Startup Fortune informó de un consejo adicional en el aviso: no usar los enlaces del correo sobre la brecha, sino ir directamente a los paneles de los proveedores. También informó que se dijo a los usuarios que revisaran los registros de facturación desde el 17 de octubre y que establecieran límites de gasto para limitar la exposición derivada de una clave robada.

Del lado de Console, la remediación visible ha consistido en revocación y restricción en lugar de divulgación. Los usuarios informan que las claves desaparecen de las cuentas y que los espacios de trabajo se bloquean; OpenCode no ha publicado qué cambió en el sistema heredado, si ese sistema ya está completamente apagado o cómo detectó el acceso. S​tep Security, un proveedor de seguridad, publicó una guía de respuesta en menos de un día —incluidas las rutas locales de los archivos de credenciales donde se registran los proveedores vinculados en las máquinas de los desarrolladores—, y señaló que sus herramientas pueden identificar instalaciones de CLI, pero no pueden determinar si un desarrollador tiene una cuenta de Console ni qué proveedores están vinculados a ella. Esa limitación es en sí misma un hallazgo: el alcance del impacto no puede reconstruirse desde el lado del cliente.

Qué está establecido, y qué no

Quedó establecido, según las propias declaraciones de OpenCode y múltiples informes independientes: una parte no autorizada accedió a un sistema heredado de Console; las claves de proveedores externos de OpenAI, Anthropic y Google podrían haber quedado expuestas; aproximadamente el 1,4 % de los usuarios de Console, el subconjunto con proveedores externos vinculados, recibió notificación por correo electrónico; la empresa está coordinando con los tres proveedores; Anthropic revocó las claves de Claude afectadas, según Dealroom; y usuarios identificados reportaron cargos no autorizados de cientos a unos pocos miles de dólares.

No está establecido: a cuántas cuentas representa el 1,4 %; cómo entró el intruso; cuánto tiempo tuvo acceso; si se usó cada clave expuesta; para qué eran las consultas; si se sustrajo algún dato además de las claves de proveedor; cuál fue la pérdida total; y si alguien recibirá un reembolso. OpenCode no ha publicado un análisis posterior al incidente, y no se ha retirado formalmente su declaración de que el incidente estaba “en curso”.

La corroboración aquí es amplia pero superficial en un aspecto concreto. En un plazo de 48 horas, la divulgación fue difundida por CyberSecurityNews, OfficeChai, Startup Fortune, Notebookcheck, Dealroom, Cryptobriefing, The420.in, TOKENPOST, FourWeekMBA, BigGo Finance y S​tep Security, y el OECD.AI Incidents and Hazards Monitor registra el evento con fecha 17 de octubre de 2026, y clasifica el daño como Económico/Propiedad y el principio de IA afectado como robustez y seguridad digital. Lo que eso corrobora es que la divulgación ocurrió, que su redacción es la reportada y que otros tomaron en serio el daño financiero. No verifica de forma independiente el relato interno de OpenCode sobre la intrusión, porque ningún medio parece haber obtenido uno. No hay aviso de ningún regulador ni alerta de proveedor de O​penAI o G​oogle en el registro.

Cómo lo archiva el archivo

El archivo registra esto como un incidente — un evento real relacionado con la IA en lugar de una previsión — con severidad alta, confianza calificada como A, real_harm registrado como verdadero y no disputado. Las etiquetas de tipo son CRED e INFRA: un compromiso de credenciales de la infraestructura de una plataforma de agentes. La marca de no disputado se refiere al evento, no al encuadre de destilación; el archivo no trata la afirmación de motivos de OpenCode como una conclusión establecida, y el lector tampoco debería.

Dos cosas hacen que este registro merezca conservarse más allá de sus cifras en dólares. La primera es arquitectónica: una plataforma de agentes que almacena en sus propios servidores las claves de los clientes para tres laboratorios competidores concentra un riesgo que, de otro modo, recaería en cada cliente, y desmantelar un sistema no desmantela las credenciales que contiene. La segunda es probatoria: la versión de la propia empresa es un porcentaje, un sistema heredado y un motivo, con las facturas aportadas por los usuarios. Es un registro más débil de lo que la gravedad exige, y es la forma que aún adoptan la mayoría de estas revelaciones.

Este registro figura junto a los demás incidentes de agentes documentados en el archivo de incidentes de IA, donde cada entrada incluye sus propias fuentes, gravedad, nivel de confianza e indicador de disputa.