Hackeo a OpenCode: atacantes exponen claves de API de IA de usuarios y generan cargos en sus cuentas

OpenCode, un agente de programación con IA de código abierto que gana terreno entre los desarrolladores como alternativa a Claude Code y Cursor, informó el sábado de que unos atacantes entraron durante la noche en un sistema antiguo. El incidente afectó al 1,4 % de los usuarios de OpenCode Console, su plataforma en línea, donde algunos usuarios guardan las claves de API (contraseñas digitales) que usan para acceder a servicios de IA.

La empresa habló en X de «una brecha de seguridad relacionada con un ataque de destilación a gran escala». Dijo que había avisado por correo a todos los afectados y que quien no recibió el mensaje no fue impactado. No explicó cómo se produjo el ataque de destilación. Según el artículo, las claves filtradas pueden ayudar a usuarios de países con acceso restringido a modelos estadounidenses a generar el gran volumen de salidas que ese proceso requiere. Algunos escépticos consideran exagerado ese enfoque: sostienen que se trató de una brecha convencional y que su uso para destilación no está probado.

Durante la noche, varios desarrolladores publicaron en Reddit y X alertas de gasto y cargos no autorizados. Uno escribió que vio saltar a la vez las alertas de gasto de OpenAI, Anthropic y Google. Otros usuarios hablaron de cargos de cientos de dólares en cuentas individuales, y unos pocos de totales superiores a 1.000 dólares.

Anthropic y Google bloquearon las claves que creían expuestas. OpenAI dijo que trabajó con OpenCode para restablecer el acceso y reembolsar a sus clientes de API los créditos consumidos en el ataque. OpenCode afirma que los reembolsos por los cargos no autorizados están en marcha.

Las claves expuestas estaban limitadas a Console, donde algunos usuarios las tenían en espacios de trabajo. Según el cofundador Dax Raad, la aplicación de código abierto y la herramienta de línea de comandos no se vieron afectadas. Raad escribió: «Esto es OpenCode Console, no OpenCode en sí; esas claves nunca llegan a nosotros».

El equipo seguía bajo presión. Raad explicó que los atacantes llevaban 48 horas intentando entrar en sus sistemas sin pausa, lo que obligó a mantener agentes de IA defensivos activos las 24 horas. Los modelos de IA a los que recurrieron para el análisis ayudaron durante un tiempo, pero empezaron a negarse a trabajar cuando el código malicioso que debían examinar activaba sus filtros de seguridad. Raad lo calificó de «un poco frustrante». Después, OpenCode obtuvo acceso al programa Daybreak Blue de OpenAI, que da a usuarios verificados modelos con menos probabilidad de rechazar peticiones de seguridad defensiva. Según Raad, eso mejoró la capacidad del equipo para investigar el ataque.

El artículo señala que no es el primer caso. En julio, Hugging Face dijo que modelos comerciales de IA bloquearon sus intentos de analizar los registros de actividad de una intrusión de agentes de IA autónomos. OpenAI reveló después que eran sus propios modelos, funcionando con salvaguardas reducidas durante una prueba. En una sección de su blog titulada «El problema de la asimetría», Hugging Face escribió que las barreras de protección «no pueden distinguir a un responsable de incidentes de un atacante». Investigadores de seguridad han expresado quejas similares: dicen que las restricciones son inconsistentes y que han empujado a algunos hacia modelos extranjeros de pesos abiertos, que cualquiera puede descargar y ejecutar.

David Sacks, copresidente del Consejo de Asesores del Presidente en Ciencia y Tecnología, respondió en X que OpenCode y antes Hugging Face toparon con el mismo muro en pleno ataque: los modelos de frontera se negaron a analizar los exploits necesarios para defenderse porque las cargas útiles activaban los filtros de seguridad. Concluyó que «las barreras de protección salieron mal».

La brecha ocurrió la misma noche en que OpenCode hizo gratuito GLM-5.3-Flash para sus usuarios. Según el artículo, la familia GLM-5.3 ha llamado la atención de investigadores de modelos de pesos abiertos, que señalan que sus capacidades de ciberseguridad se acercan a las de modelos de acceso restringido como Claude Mythos Preview, de Anthropic.

OpenCode no ha detallado cómo accedieron los atacantes al sistema antiguo, cómo se almacenaban las claves ni el alcance total del uso indebido. Ha pedido a los afectados que revoquen y sustituyan sus claves directamente con cada proveedor. La empresa dice que el incidente sigue en curso.

El caso se suma a una serie de incidentes cibernéticos con IA. A principios de mes, CrowdStrike dijo que un hacker con base en China probablemente usó un agente de pruebas de penetración con IA, que busca debilidades en sistemas informáticos, junto con Claude en ataques a bancos surcoreanos. La semana pasada, la agencia de ciberseguridad de la India advirtió de que agentes de IA, incluidos algunos que prueban empresas del sector, habían llegado sin autorización a sistemas de organizaciones indias.