La console ritirata di OpenCode ha fatto trapelare le chiavi dei provider AI degli utenti — e alcune spese erano già state sostenute

OpenCode, l'agente di coding open-source creato da Anomaly (ex SST), ha reso noto il 17 ottobre 2026 che un soggetto non autorizzato aveva raggiunto un sistema Console legacy in fase di dismissione, e che le chiavi di provider AI di terze parti archiviate nei workspace di alcuni utenti "potrebbero essere state esposte" — tra queste le credenziali di O​penAI, A​nthropic e G​oogle. OpenCode ha dichiarato che la violazione ha interessato circa l'1,4% degli utenti Console, nello specifico "un sottoinsieme di utenti che avevano collegato provider esterni", e di aver inviato un'email a ogni account interessato. L'azienda ha descritto l'incidente come "un attacco di distillazione su larga scala." Nel giro di un giorno, utenti identificati hanno riferito ai giornalisti che le chiavi erano state utilizzate: Dealroom ha riportato 281 $ di addebiti sulla chiave O​penAI di un utente e 168 $ sulla chiave A​nthropic dello stesso utente, più di 700 $ su un altro account e 1.700 $ su un terzo.

Quel divario — tra la dichiarazione di un'azienda su una percentuale e gli utenti che hanno in mano le fatture — è tutta la storia di questo documento. La divulgazione è breve, il resoconto tecnico è assente, e il resoconto finanziario arriva dalle persone a cui è stata emessa la fattura.

Quello che OpenCode ha detto, con le sue stesse parole

Il post pubblico dell'azienda era lungo tre frasi. "Abbiamo avuto una violazione della sicurezza la scorsa notte legata a un attacco di distillazione su larga scala che ha interessato l'1,4% degli utenti di OpenCode Console", si leggeva, secondo il testo citato su Hacker News e da OfficeChai. "Li abbiamo avvisati tutti questa mattina via email. Se non hai ricevuto un'email non sei stato interessato, si trattava di un sottoinsieme di utenti che avevano provider esterni collegati."

Un avviso alla comunità leggermente più lungo, pubblicato dal team di OpenCode e riprodotto su Hacker News, ha aggiunto il meccanismo per come l'azienda lo ha descritto: "Abbiamo identificato un accesso non autorizzato a un sistema legacy che stavamo dismettendo. Le chiavi dei provider di terze parti (ad es. OpenAI, Anthropic) salvate nel tuo workspace potrebbero essere state esposte. Revoca e sostituisci tali chiavi tramite la dashboard del provider pertinente, aggiorna eventuali applicazioni che le utilizzano e controlla l'utilizzo recente per individuare attività impreviste. Ci scusiamo per quanto accaduto e forniremo aggiornamenti in merito."

Quello che l’azienda non ha pubblicato è importante quanto quello che ha pubblicato. Al 19 ottobre 2026 non c’è una causa principale, né una descrizione di come sia stato raggiunto il sistema legacy, né una dichiarazione su per quanto tempo un intruso abbia avuto accesso, né un conteggio assoluto degli account interessati dietro la cifra dell’1,4%, né una cifra totale delle perdite, né una politica di rimborso, né un post-mortem. OpenCode all’epoca ha dichiarato che «l’incidente è in corso, quindi al momento non possiamo condividere ulteriori dettagli». CyberSecurityNews ha rilevato le stesse assenze e ha aggiunto che OpenCode non ha fornito alcuna prova tecnica che colleghi le credenziali esposte all’attività di distillazione.

La cronologia e i punti in cui i resoconti divergono

Il post di OpenCode è datato 17 ottobre 2026 e fa riferimento alla violazione come avvenuta "la scorsa notte", collocando l'intrusione nella notte tra il 16 e il 17 ottobre. La segnalazione su The Hacker News della dichiarazione dell'azienda riporta un timestamp delle 18:01 UTC del 17 ottobre. Due giorni dopo, il co-fondatore Dax Raad ha detto che gli aggressori avevano "cercato senza sosta di attaccare i nostri sistemi nelle ultime 48 ore" e che "anche i miei account personali sono sotto attacco adesso", descrivendolo come "un mondo completamente nuovo con l'hacking potenziato dall'IA" (OfficeChai).

La tempistica delle notifiche è l'unico punto su cui i resoconti pubblicati non concordano. OpenCode ha dichiarato di aver notificato gli utenti interessati "questa mattina". Startup Fortune ha riportato che Anomaly ha inviato un'email agli utenti interessati il 17 ottobre, ma ha osservato che le fonti divergono su se le comunicazioni siano state inviate la mattina del 17 o del 18; OfficeChai, che ha datato al 17 ottobre sia i post di OpenCode sia quelli di Raad, ha collocato la dichiarazione della community e le email la mattina del 18 ottobre. Startup Fortune ha inoltre riportato che agli utenti è stato detto di esaminare i registri di fatturazione e utilizzo risalenti al 17 ottobre — una data limite importante, perché alcuni utenti hanno segnalato addebiti ingiustificati prima dell'arrivo della prima notifica.

Che cosa è stato memorizzato e perché era importante

{{1}}L'esposizione riguarda specificamente OpenCode Console, la dashboard ospitata in cui risiedono account, abbonamenti e credenziali dei provider collegate — non la CLI open source di per sé.{{/1}} {{2}}Dealroom ha riferito che Console archivia le chiavi dei provider degli utenti sui server di OpenCode e che OpenCode supporta modelli di oltre 75 provider, con gli utenti che forniscono le proprie chiavi API private.{{/2}} {{3}}È questo design ad aver trasformato una violazione di un sistema interno in una violazione di credenziali detenute presso tre laboratori di AI distinti contemporaneamente.{{/3}}

OpenCode ha indicato O​penAI, A​nthropic e G​oogle come i provider le cui chiavi rientravano nell'ambito, e ha affermato di stare collaborando con tutti e tre «per porre rimedio al problema». L'unica azione lato provider riportata finora è arrivata di seconda mano: Dealroom ha riferito che A​nthropic ha dichiarato di aver revocato le chiavi API di C​laude interessate. Né O​penAI né G​oogle sono stati citati direttamente nella copertura esaminata per questo articolo, e nessun provider ha pubblicato una propria dichiarazione.

Le bollette che gli utenti dicono siano arrivate

Il danno finanziario non deriva dalla divulgazione di OpenCode — la società non ha pubblicato alcuna cifra sulle perdite — ma da singoli utenti che hanno parlato con i giornalisti. Il resoconto di Dealroom, pubblicato il 18 ottobre, ne nomina tre:

• Colin Parsons, la cui chiave OpenAI è stata, per usare le parole della testata, «pounded» per $281, e la cui chiave Anthropic è stata addebitata per $168.

• Preston Zeller, che ha dichiarato perdite per $1,700.

• Francisco Giancarelli, che ha visto più di $700 di utilizzo di OpenAI prima di fermarlo.

Cryptobriefing, che non ha fatto nomi, ha descritto fatture «che salgono fino a centinaia di dollari» e ha affermato chiaramente che il materiale di origine non specifica come saranno gestiti gli addebiti derivanti da interrogazioni non autorizzate. Ciò resta vero a due giorni di distanza: non è stato pubblicato alcun impegno al rimborso.

Vengono denunciate altre due categorie di danno, ma non sono verificate. Startup Fortune ha riportato che un utente ha dichiarato che Google ha sospeso il suo progetto Google Cloud dopo l'incidente, e un altro ha affermato che OpenAI ha eliminato il suo account per una violazione dei termini collegata all'incidente — singoli post su X che la testata ha detto di non poter verificare. Separatamente, il tracker delle issue GitHub di OpenCode contiene segnalazioni inviate dagli utenti che mal si conciliano con la posizione dell'azienda secondo cui «se non hai ricevuto un'email non sei stato coinvolto». La issue #56833, aperta il 18 ottobre, proviene da un abbonato che afferma che il suo workspace non ha mai contenuto una chiave OpenAI, Anthropic o Google — solo una chiave OpenCode Go — eppure la sua chiave è stata revocata senza che fosse impostata una data di scadenza, e che chiede una politica di compensazione non ancora pubblicata. La issue #56703, aperta lo stesso giorno, segnala workspace che mostrano «Workspace access restricted» dal 17 ottobre, da parte di un utente che afferma di non aver ricevuto alcuna email sulla violazione. Si tratta di segnalazioni utente non confermate, non di dichiarazioni aziendali, ma indicano che l'intervento di remediation ha coinvolto account al di fuori del sottoinsieme contattato via email.

"Distillation attack": che cosa sta facendo quella frase

L'inquadramento di OpenCode è un'affermazione sulle motivazioni, non la descrizione di una vulnerabilità, e l'azienda non ha pubblicato nulla a sostegno. Cryptobriefing ha descritto lo scopo apparente come la raccolta di output di modelli di alta qualità che avrebbero potuto essere usati per addestrare modelli concorrenti senza pagare per la potenza di calcolo o la ricerca originale, e ha osservato che Anthropic aveva descritto metodi di distillazione simili nel febbraio 2026. Si tratta di una ricostruzione plausibile dell'intento. Non è una prova su chi lo abbia fatto o su cosa abbia eseguito.

L'affermazione suscitò immediato scetticismo tra ricercatori e utenti. Startup Fortune ha citato il ricercatore Nathan Lambert che chiedeva se "distillation" significasse addestrare modelli downstream "o qualche altro strano e losco schema per usare token ottenuti illegalmente", e ha citato un utente che obiettava: "Chiavi dei clienti compromesse. Presumibilmente usate per la distillation? Questo non è un attacco di distillation." Su Hacker News, i commentatori hanno insistito sullo stesso punto — che l'impostazione arriva da un'azienda i cui fornitori hanno passato l'anno a sostenere che la distillation sia una minaccia commerciale esistenziale, e che non sono stati rilasciati né log delle query, né analisi del traffico, né attribuzione. La distinzione conta per chiunque leggerà il resoconto in seguito: una violazione delle credenziali è accertata; lo scopo che vi sta dietro è asserito.

Cosa è cambiato dopo la divulgazione

Le istruzioni di OpenCode agli utenti interessati erano di revocare e sostituire ogni chiave del provider collegata tramite le dashboard di OpenAI, Anthropic e Google, aggiornare ogni applicazione che utilizza quelle chiavi e rivedere l'utilizzo e la fatturazione del provider per individuare attività impreviste. Startup Fortune ha riportato un ulteriore consiglio presente nell'avviso: non utilizzare i link nell'email della violazione, ma recarsi direttamente alle dashboard dei provider. Ha inoltre riportato che agli utenti è stato detto di controllare i registri di fatturazione a partire dal 17 ottobre e di impostare limiti di spesa per limitare l'esposizione derivante da una chiave rubata.

Sul versante Console, la remediation visibile è stata la revoca e la restrizione anziché la divulgazione. Gli utenti segnalano chiavi che scompaiono dagli account e workspace bloccati; OpenCode non ha pubblicato cosa abbia modificato nel sistema legacy, se quel sistema sia ora completamente spento, né come abbia rilevato l'accesso. S​tep Security, un fornitore di sicurezza, ha pubblicato una guida alla risposta entro un giorno — inclusi i percorsi locali dei file di credenziali in cui vengono registrati i provider collegati sulle macchine degli sviluppatori — osservando tuttavia che i suoi strumenti possono identificare le installazioni CLI ma non possono determinare se uno sviluppatore possieda un account Console o quali provider vi siano collegati. Tale limitazione è di per sé un risultato: il raggio d'azione non può essere ricostruito dal lato client.

Ciò che è stabilito e ciò che non lo è

È stato stabilito, sulla base delle dichiarazioni di OpenCode stesso e di molteplici rapporti indipendenti: una parte non autorizzata ha raggiunto un sistema Console legacy; le chiavi di provider terzi per O​penAI, A​nthropic e G​oogle potrebbero essere state esposte; circa l'1,4% degli utenti Console, il sottoinsieme con provider esterni collegati, è stato notificato via email; l'azienda si sta coordinando con i tre provider; A​nthropic ha revocato le chiavi C​laude interessate, secondo Dealroom; e utenti citati hanno segnalato addebiti non autorizzati da centinaia a poche migliaia di dollari.

Non è stabilito: a quanti account corrisponda l'1,4%; come sia entrato l'intruso; per quanto tempo abbia avuto accesso; se ogni chiave esposta sia stata utilizzata; a cosa servissero le query; se siano stati prelevati dati oltre alle chiavi dei provider; quale sia stata la perdita totale; e se qualcuno sarà rimborsato. OpenCode non ha pubblicato un post-mortem, e la sua dichiarazione secondo cui l'incidente era "in corso" non è stata formalmente ritirata.

La corroborazione qui è ampia ma superficiale sotto un aspetto specifico. Nel giro di 48 ore la rivelazione è stata ripresa da CyberSecurityNews, OfficeChai, Startup Fortune, Notebookcheck, Dealroom, Cryptobriefing, The420.in, TOKENPOST, FourWeekMBA, BigGo Finance e S​tep Security, e il Monitor degli incidenti e dei rischi di OECD.AI elenca l'evento datato 17 ottobre 2026, classificando il danno come Economico/Patrimoniale e il principio di IA interessato come robustezza e sicurezza digitale. Ciò che questo corrobora è che la rivelazione è avvenuta, che la sua formulazione è quella riportata e che il danno finanziario è stato preso sul serio da altri. Non verifica in modo indipendente il resoconto interno di OpenCode sull'intrusione, perché nessun organo di stampa sembra averne ottenuto uno. Non risultano agli atti né un avviso di un'autorità di regolamentazione né un avviso del fornitore da parte di O​penAI o G​oogle.

Come l'archivio lo archivia

L'archivio lo registra come un incidente — un evento reale correlato all'IA anziché una previsione — con gravità alta, confidenza classificata A, real_harm registrato come vero, e non contestato. I tag di tipo sono CRED e INFRA: una compromissione di credenziali dell'infrastruttura di una piattaforma di agenti. Il flag undisputed riguarda l'evento, non l'inquadramento sulla distillazione; l'archivio non considera la dichiarazione sulle motivazioni di OpenCode una conclusione accertata, e nemmeno un lettore dovrebbe farlo.

Due cose rendono questo fascicolo degno di essere conservato al di là delle sue cifre in dollari. La prima è architetturale: una piattaforma per agenti che conserva sui propri server le chiavi dei clienti per tre laboratori concorrenti concentra un rischio che altrimenti ricadrebbe su ciascun cliente, e la dismissione di un sistema non dismette le credenziali al suo interno. La seconda è probatoria: il resoconto della stessa azienda si riduce a una percentuale, a un sistema legacy e a un movente, con le fatture fornite dagli utenti. È una documentazione più scarna di quanto la gravità giustifichi, ed è la forma che la maggior parte di queste divulgazioni assume ancora.

Questa scheda si trova accanto agli altri incidenti documentati che coinvolgono agenti in l'archivio degli incidenti AI, dove ogni voce riporta le proprie fonti, gravità, grado di confidenza e flag di contestazione.