O console desativado do OpenCode vazou chaves de provedores de IA dos usuários — e algumas das faturas já tinham sido cobradas

O OpenCode, o agente de programação de código aberto criado pela Anomaly (antiga SST), divulgou em 17 de outubro de 2026 que um terceiro não autorizado havia acessado um sistema legado do Console que estava em processo de desativação, e que chaves de provedores de IA de terceiros armazenadas nos espaços de trabalho de alguns usuários "podem ter sido expostas" — entre elas, credenciais da O​penAI, da A​nthropic e do G​oogle. O OpenCode afirmou que a violação afetou cerca de 1,4% dos usuários do Console, especificamente "um subconjunto de usuários que tinham provedores externos vinculados", e que havia enviado e-mail a todas as contas afetadas. A empresa descreveu o incidente como "um ataque de destilação em larga escala". Em menos de um dia, usuários identificados estavam dizendo a repórteres que as chaves haviam sido usadas: o Dealroom relatou US$ 281 em cobranças na chave da O​penAI de um usuário e US$ 168 na chave da A​nthropic do mesmo usuário, mais de US$ 700 em outra conta e US$ 1.700 em uma terceira.

Essa lacuna — entre o comunicado de uma empresa sobre uma porcentagem e os usuários com faturas em mãos — é toda a história deste registro. A divulgação é curta, o relato técnico está ausente, e o relato financeiro vem das pessoas que foram cobradas.

O que o OpenCode disse, nas suas próprias palavras

A publicação pública da empresa tinha três frases. “Tivemos uma violação de segurança na noite passada relacionada a um ataque de destilação em larga escala que afetou 1,4% dos usuários do OpenCode Console”, dizia, segundo o texto citado no Hacker News e pelo OfficeChai. “Notificamos todos eles nesta manhã por e-mail. Se você não recebeu um e-mail, não foi afetado; era um subconjunto de usuários que tinham provedores externos vinculados.”

Um aviso da comunidade um pouco mais longo, publicado pela equipe do OpenCode e reproduzido no Hacker News, acrescentou o mecanismo, até onde a empresa o descreveu: “Identificamos acesso não autorizado a um sistema legado que estávamos em processo de descomissionamento. Chaves de provedores terceiros (por exemplo, OpenAI, Anthropic) salvas no seu espaço de trabalho podem ter sido expostas. Revogue e substitua essas chaves no painel do provedor relevante, atualize quaisquer aplicativos que as utilizem e revise o uso recente em busca de atividade inesperada. Lamentamos que isso tenha acontecido e faremos acompanhamento com quaisquer atualizações.”

O que a empresa não publicou é tão importante quanto o que ela publicou. Em 19 de outubro de 2026, não há causa raiz, nenhuma descrição de como o sistema legado foi acessado, nenhuma declaração de por quanto tempo um invasor teve acesso, nenhuma contagem absoluta de contas afetadas por trás do número de 1,4%, nenhum número de perda total, nenhuma política de reembolso e nenhuma análise post-mortem. A OpenCode disse na época que "o incidente está em andamento, portanto não podemos compartilhar mais detalhes neste momento." A CyberSecurityNews observou as mesmas ausências e acrescentou que a OpenCode não forneceu nenhuma evidência técnica que conectasse as credenciais expostas à atividade de destilação.

A linha do tempo, e onde os relatos divergem

A publicação da OpenCode é datada de 17 de outubro de 2026 e se refere à violação como tendo ocorrido "na noite anterior", situando a invasão durante a noite entre 16 e 17 de outubro. A submissão da declaração da empresa ao Hacker News tem um carimbo de data/hora de 18:01 UTC em 17 de outubro. Dois dias depois, o cofundador Dax Raad disse que os atacantes estavam "tentando atacar nossos sistemas sem parar nas últimas 48 horas", e que "minhas contas pessoais também estão sendo atacadas agora", descrevendo isso como "um mundo totalmente novo com hacking impulsionado por IA" (OfficeChai).

O momento da notificação é o ponto em que os relatos publicados divergem. A OpenCode disse que havia notificado os usuários afetados "esta manhã". A Startup Fortune relatou que a Anomaly enviou e-mails aos usuários afetados em 17 de outubro, mas observou que as fontes divergem sobre se os avisos foram enviados na manhã do dia 17 ou do dia 18; a OfficeChai, que datou tanto as postagens da OpenCode quanto as de Raad em 17 de outubro, situou a declaração da comunidade e os e-mails na manhã de 18 de outubro. A Startup Fortune também relatou que os usuários foram instruídos a revisar os registros de cobrança e uso desde 17 de outubro — uma data de corte que importa, porque alguns usuários relataram cobranças inexplicadas antes de o primeiro aviso chegar.

O que foi armazenado, e por que isso importava

A exposição é específica do OpenCode Console, o painel hospedado onde ficam contas, assinaturas e credenciais de provedores vinculadas — não da CLI de código aberto isoladamente. O Dealroom informou que o Console armazena as chaves de provedor dos usuários nos servidores da OpenCode, e que a OpenCode oferece suporte a modelos de mais de 75 provedores, com os usuários fornecendo suas próprias chaves de API privadas. Foi esse design que transformou uma violação de um sistema interno em uma violação de credenciais mantidas em três laboratórios de IA distintos ao mesmo tempo.

O OpenCode nomeou OpenAI, Anthropic e Google como os provedores cujas chaves estavam no escopo, e disse que estava trabalhando com os três "para remediar o problema". A única ação do lado do provedor relatada até agora veio de forma indireta: o Dealroom relatou que a Anthropic disse ter revogado as chaves da API Claude afetadas. Nem OpenAI nem Google foram citados diretamente na cobertura revisada para este artigo, e nenhum provedor publicou sua própria declaração.

As contas que os usuários dizem que chegaram

O prejuízo financeiro não provém da divulgação da OpenCode — a empresa não publicou nenhuma cifra de perdas —, mas de usuários individuais que falaram com repórteres. O relato do Dealroom, publicado em 18 de outubro, cita três:

• Colin Parsons, cuja chave da OpenAI foi, nas palavras do veículo, “martelada” por $281, e cuja chave da Anthropic foi cobrada em $168.

• Preston Zeller, que relatou perdas de $1,700.

• Francisco Giancarelli, que viumais de US$ 700 em uso da OpenAI antes de interromper.

A Cryptobriefing, que não citou nomes de pessoas, descreveu contas "subindo para a casa das centenas de dólares" e afirmou claramente que o material de origem não especifica como serão tratadas as cobranças decorrentes de consultas não autorizadas. Isso continua verdadeiro dois dias depois: nenhum compromisso de reembolso foi publicado.

Duas outras categorias de dano são alegadas, mas não verificadas. A Startup Fortune relatou que um usuário disse que o G​oogle suspendeu seu projeto no G​oogle Cloud após o incidente, e outro disse que a O​penAI excluiu sua conta por uma violação de termos relacionada a isso — posts individuais no X que o veículo disse não poder verificar. Separadamente, o próprio rastreador de issues do OpenCode no GitHub contém relatos enviados por usuários que destoam da linha da empresa de que “se você não recebeu um e-mail, não foi impactado”. A issue #56833, aberta em 18 de outubro, é de um assinante que diz que seu workspace nunca teve uma chave da O​penAI, da A​nthropic ou do G​oogle — apenas uma chave do OpenCode Go —, mas sua chave foi revogada sem data de expiração definida, e que pede uma política de compensação que não foi publicada. A issue #56703, aberta no mesmo dia, relata workspaces exibindo “Workspace access restricted” desde 17 de outubro, de um usuário que diz não ter recebido nenhum e-mail sobre a violação. Esses são relatos de usuários não confirmados, não declarações da empresa, mas indicam que a remediação atingiu contas fora do subconjunto que recebeu e-mails.

"Ataque de destilação": o que essa frase está fazendo

A forma como o OpenCode apresenta a questão é uma alegação de motivação, não uma descrição de vulnerabilidade, e a empresa não publicou nada que a sustente. O Cryptobriefing descreveu o propósito aparente como coletar saídas de modelos de alta qualidade que poderiam ser usadas para treinar modelos concorrentes sem pagar pela computação ou pela pesquisa original, e observou que a Anthropic havia descrito métodos de destilação semelhantes em fevereiro de 2026. Essa é uma reconstrução plausível da intenção. Não é evidência sobre quem fez isso ou o que executou.

A alegação provocou ceticismo imediato entre pesquisadores e usuários. A Startup Fortune citou o pesquisador Nathan Lambertperguntando se "destilação" significava treinar modelos a jusante "ou algum outro padrão estranho e duvidoso para usar tokens obtidos ilegalmente", e citou um usuário que objetava que "Chaves de clientes foram comprometidas. Presumivelmente usadas para destilação? Este não é um ataque de destilação." No Hacker News, comentaristas insistiram no mesmo ponto — que o enquadramento vem de uma empresa cujos fornecedores passaram o ano argumentando que a destilação é uma ameaça comercial existencial, e que nenhum log de consultas, nenhuma análise de tráfego e nenhuma atribuição foram divulgados. A distinção importa para quem ler o registro mais tarde: uma violação de credenciais está estabelecida; o propósito por trás dela é afirmado.

O que mudou após a divulgação

As instruções do OpenCode aos usuários afetados foram revogar e substituir todas as chaves de provedor vinculadas por meio dos painéis da OpenAI, Anthropic e Google, atualizar todos os aplicativos que usam essas chaves e revisar o uso e a cobrança dos provedores em busca de atividade inesperada. A Startup Fortune relatou mais um conselho no aviso: não use links no e-mail sobre a violação, mas acesse diretamente os painéis dos provedores. Também informou que os usuários foram instruídos a verificar os registros de cobrança desde 17 de outubro e a definir limites de gastos para limitar a exposição decorrente de uma chave roubada.

Do lado do Console, a remediação visível tem sido revogação e restrição, e não divulgação. Usuários relatam que chaves estão desaparecendo de contas e que workspaces estão sendo bloqueados; a OpenCode não publicou o que alterou no sistema legado, se esse sistema agora está totalmente desativado, nem como detectou o acesso. A S​tep Security, fornecedora de segurança, publicou orientações de resposta em um dia — incluindo os caminhos locais dos arquivos de credenciais onde os provedores vinculados são registrados nas máquinas dos desenvolvedores — observando que suas ferramentas conseguem identificar instalações de CLI, mas não conseguem determinar se um desenvolvedor tem uma conta no Console ou quais provedores estão vinculados a ela. Essa limitação é, por si só, um achado: não é possível reconstruir o raio de impacto a partir do lado do cliente.

O que está estabelecido e o que não está

Estabelecido, com base nas próprias declarações da OpenCode e em vários relatórios independentes: uma parte não autorizada acessou um sistema legado do Console; chaves de provedores terceiros da OpenAI, Anthropic e Google podem ter sido expostas; cerca de 1,4% dos usuários do Console, o subconjunto com provedores externos vinculados, foi notificado por e-mail; a empresa está coordenando com os três provedores; a Anthropic revogou as chaves afetadas do Claude, segundo o Dealroom; e usuários identificados relataram cobranças não autorizadas na casa das centenas a poucos milhares de dólares.

Não está estabelecido: quantas contas os 1,4% representam; como o invasor conseguiu entrar; por quanto tempo teve acesso; se todas as chaves expostas foram utilizadas; para que serviam as consultas; se algum dado além das chaves dos provedores foi obtido; qual foi o prejuízo total; e se alguém será ressarcido. O OpenCode não publicou um relatório post-mortem, e sua declaração de que o incidente estava "em andamento" não foi formalmente retirada.

A corroboração aqui é ampla, mas superficial de uma forma específica. Em 48 horas, a divulgação foi veiculada por CyberSecurityNews, OfficeChai, Startup Fortune, Notebookcheck, Dealroom, Cryptobriefing, The420.in, TOKENPOST, FourWeekMBA, BigGo Finance e S​tep Security, e o OECD.AI Incidents and Hazards Monitor lista o evento com data de 17 de outubro de 2026, classificando o dano como Econômico/Patrimonial e o princípio de IA afetado como robustez e segurança digital. O que isso corrobora é que a divulgação aconteceu, que o texto é o que foi noticiado e que o dano financeiro foi levado a sério por terceiros. Não verifica de forma independente o relato interno da OpenCode sobre a intrusão, porque nenhum veículo parece ter obtido um. Não há aviso de regulador nem comunicado de fornecedor da O​penAI ou do G​oogle no registro.

Como o arquivo o arquiva

O arquivo registra isto como um incidente — um evento relacionado à IA efetivamente ocorrido, e não uma previsão — com severidade alta, confiança classificada como A, real_harm registrado como verdadeiro, e não contestado. As tags de tipo são CRED e INFRA: um comprometimento de credenciais da infraestrutura de uma plataforma de agentes. O sinalizador de não contestado diz respeito ao evento, não ao enquadramento de destilação; o arquivo não trata a alegação de motivo do OpenCode como uma constatação estabelecida, e o leitor também não deveria.

Duas coisas tornam este registo digno de ser guardado para além dos seus valores em dólares. A primeira é arquitetural: uma plataforma de agentes que armazena nos seus próprios servidores as chaves dos clientes para três laboratórios concorrentes concentra um risco que, de outro modo, recairia sobre cada cliente, e desativar um sistema não desativa as credenciais que contém. A segunda é probatória: a versão da própria empresa é uma percentagem, um sistema legado e um motivo, com as faturas fornecidas pelos utilizadores. É um registo mais ténue do que a gravidade justifica, e é a forma que a maioria destas divulgações ainda assume.

Este registro está ao lado dos outros incidentes documentados de agentes no arquivo de incidentes de IA, onde cada entrada traz suas próprias fontes, gravidade, grau de confiança e sinalização de contestação.