Ciberataque a OpenCode: hackers roban claves API y generan cargos en cuentas de usuarios

OpenCode, un agente de codificación AI de código abierto, se convirtió en una alternativa popular a Claude Code y Cursor. Sin embargo, el sábado, la compañía informó que atacantes penetraron en un sistema antiguo, afectando al 1.4% de los usuarios de su plataforma en línea, OpenCode Console, donde algunos almacenan las claves API que utilizan para acceder a servicios de AI.

Mientras el equipo de OpenCode luchaba por mantener el control del ataque, la situación destacó un problema creciente: las empresas sin acceso verificado a modelos de AI con menos restricciones de seguridad enfrentan dificultades para defenderse contra ciberataques a gran escala impulsados por AI.

"Tuvimos una brecha de seguridad anoche relacionada con un ataque de destilación a gran escala que impactó al 1.4% de los usuarios de OpenCode Console," escribió la compañía en X. "Los hemos notificado a todos esta mañana por correo electrónico." Los usuarios que no recibieron un correo no se vieron afectados, aseguró la empresa.

Aunque la compañía no especificó cómo ocurrió el ataque de destilación, las claves API filtradas pueden ayudar a usuarios en países con acceso restringido a modelos estadounidenses a generar el alto volumen de salidas necesarias para ese proceso. Algunos escépticos argumentaron que la narrativa era exagerada, señalando que el incidente fue una simple brecha cuyo uso para destilación sigue sin probarse.

Desarrolladores comenzaron a publicar alertas de gastos y cargos no autorizados en Reddit y X. "Vi mis alertas de gastos de Open AI, Anthropic y Google AI dispararse antes de irme a dormir, preguntándome qué estaba pasando," escribió un desarrollador.

Otros usuarios reportaron cargos de cientos de dólares en cuentas individuales; algunos describieron totales superiores a $1,000.

Anthropic y Google bloquearon las claves API que creían expuestas, mientras que OpenAI afirmó que trabajó con OpenCode para restaurar el acceso y reembolsar a sus clientes de API por los créditos utilizados en el ataque. OpenCode indicó que los reembolsos por cargos no autorizados están en proceso.

Las claves expuestas estaban confinadas a Console, donde algunos usuarios las tenían en sus espacios de trabajo. La aplicación de código abierto y la herramienta de línea de comandos no se vieron afectadas, según el cofundador Dax Raad. "Nota que esto es OpenCode Console, no OpenCode en sí, esas claves nunca llegan a nosotros," escribió en X.

Mientras usuarios y empresas de AI se movían para deshabilitar las claves expuestas, el equipo de OpenCode continuaba bajo presión. Raad comentó que los atacantes habían estado intentando romper sus sistemas sin parar durante 48 horas, lo que obligó al equipo a mantener agentes defensivos de AI funcionando las 24 horas. Los modelos de AI a los que el equipo de OpenCode recurrió para análisis ayudaron por un tiempo, pero comenzaron a negarse a trabajar cuando el código malicioso que se les pidió examinar activó filtros de seguridad.

"[T] eso fue un poco frustrante," escribió en X.

OpenCode luego recibió acceso al programa Daybreak Blue de OpenAI, que otorga a usuarios verificados modelos de AI que son menos propensos a rechazar solicitudes para trabajos de seguridad defensiva. Raad indicó que este acceso mejoró la capacidad del equipo para investigar el ataque.

OpenCode no es la primera empresa en enfrentar este obstáculo. En julio, la plataforma de AI Hugging Face indicó que modelos de AI comerciales bloquearon sus intentos de analizar registros de actividad de una intrusión por agentes de AI autónomos, que OpenAI luego reveló eran sus propios modelos funcionando con salvaguardias reducidas durante una prueba. En una sección de su publicación de blog titulada "El problema de la asimetría", Hugging Face escribió que las barreras "no pueden distinguir a un respondedor de incidentes de un atacante".

El episodio del fin de semana provocó una respuesta de David Sacks, co-presidente del Consejo de Asesores del Presidente sobre Ciencia y Tecnología.

"OpenCode (y antes Hugging Face) se encontraron con el mismo muro a mitad de ataque: modelos fronterizos se negaron a analizar las mismas explotaciones necesarias para la defensa porque las cargas activaron filtros de seguridad. Las barreras fallaron," escribió en X.

La brecha ocurrió la misma noche en que OpenCode hizo GLM-5.3-Flash gratuito para usuarios. La familia más amplia de GLM-5.3 ha llamado la atención de investigadores que estudian modelos de peso abierto y señalan que sus capacidades de ciberseguridad se acercaron a niveles previamente asociados con modelos de acceso restringido como Claude Mythos Preview.

OpenCode no ha detallado cómo los atacantes ganaron acceso al sistema más antiguo, cómo se almacenaron las claves o la extensión total de cualquier uso indebido. Ha indicado a los usuarios afectados que revoquen y reemplacen sus claves directamente con cada proveedor. La compañía dijo que el incidente sigue siendo en curso.

La brecha se produce en medio de una serie de incidentes cibernéticos habilitados por AI. A principios de este mes, la firma de ciberseguridad CrowdStrike afirmó que un hacker basado en China probablemente utilizó un agente de prueba de penetración AI, que sondea sistemas informáticos en busca de debilidades, y Claude en ataques a bancos surcoreanos. La semana pasada, la agencia de ciberseguridad de India advirtió que agentes de AI, incluidos algunos que están siendo probados por empresas de AI, habían llegado a los sistemas de organizaciones indias sin autorización.

Temas