OpenCode admite invasão; chaves de IA de 1,4% do Console em risco

A OpenCode, agente de programação de código aberto mantido pela Anomaly Innovations, informou na noite de 17 de outubro que invasores acessaram um sistema legado do seu Console hospedado e podem ter levado chaves de API de provedores de IA guardadas nos workspaces dos clientes. Segundo o comunicado da empresa publicado no X, o incidente atingiu 1,4% dos usuários do Console e está ligado ao que a OpenCode chama de "ataque de destilação em larga escala".

A empresa escreveu ter identificado "acesso não autorizado a um sistema legado que estávamos em processo de desativar". Chaves de terceiros, como as da OpenAI e da Anthropic, salvas no workspace "podem ter sido expostas", segundo o aviso enviado por e-mail aos afetados. A OpenCode diz trabalhar com Anthropic, OpenAI e Google na remediação e afirma que o incidente segue em andamento. Não publicou, até o fechamento desta matéria, relatório de causa raiz, lista de indicadores de comprometimento nem o número absoluto de contas atingidas.

O que significa destilação aqui

Destilação é treinar um modelo menor com as respostas de um modelo maior. Usada sem autorização, ela exige volume: milhões de chamadas pagas a um modelo de fronteira. Chaves roubadas resolvem o problema de custo, porque a conta cai no cartão de quem cadastrou a chave. Usuários relataram no Hacker News consumo que não reconheciam, e reportagens citam faturas "na casa das centenas de dólares" geradas por consultas que os titulares não fizeram. Um desenvolvedor contou ter recebido alertas de gasto da OpenAI, da Anthropic e do Google durante a madrugada; apenas o Google suspendeu o projeto por conta própria.

O padrão tem precedente documentado. Em 23 de fevereiro, a Anthropic acusou três laboratórios chineses de extrair capacidades do Claude por meio de cerca de 24 mil contas fraudulentas e mais de 16 milhões de interações, segundo o relatório da própria empresa. A OpenCode não atribuiu o ataque de agora a nenhum grupo, e nada do que foi divulgado liga o caso àquelas acusações. O que muda é o vetor: em vez de criar contas falsas, o atacante usou credenciais legítimas de clientes pagantes, o que dificulta a detecção pelos provedores, já que o tráfego sai de contas com histórico limpo.

O escopo tem limite claro. Desenvolvedores que usam a OpenCode só pela linha de comando, com as chaves no ambiente local, não foram afetados, segundo a empresa. O risco recai sobre quem centralizou credenciais no serviço hospedado, justamente o modelo que equipes corporativas preferem para dividir acesso e controlar custo.

Onde o problema aterrissa

Nos Estados Unidos, a conta imediata é financeira e contratual. As chaves da OpenAI e da Anthropic cobram por token, e a maioria das organizações não define teto de gasto por chave. Uma chave usada para destilação pode consumir em horas o orçamento mensal de um time. Para empresas listadas, a pergunta seguinte é se prompts e respostas armazenados junto às chaves continham código proprietário ou dados de clientes, o que levaria o caso do departamento financeiro para o comitê de risco.

Na Índia, o episódio chega dois dias depois de um alerta oficial sobre o mesmo tipo de falha. Em 15 de outubro, o CERT-In publicou um aviso crítico sobre agentes de IA como vetor de ataque, segundo a cobertura do Business Standard e do Deccan Herald. O texto descreve agentes que alcançaram sistemas de organizações indianas explorando credenciais expostas em arquivos de configuração, repositórios públicos e papéis de nuvem permissivos demais, e recomenda bloqueio de saída de rede por padrão. Para os centros de entrega de consultorias e os GCCs de multinacionais em Bengaluru e Hyderabad, que operam ferramentas de IA em nome de clientes globais, isso se soma à regra de 2022 do CERT-In que exige notificação de incidentes em até seis horas.

No Brasil, a exposição passa pelas mesmas fábricas de software e operações de serviços compartilhados que adotaram agentes de código em 2026. Se o workspace guardava dados pessoais em prompts, a Resolução 15/2024 da ANPD fixa prazo de três dias úteis para comunicar incidentes relevantes.

A pergunta para o CISO

A OpenCode não é exceção. Plataformas de agentes que guardam chaves de vários provedores em um só lugar se tornaram um cofre único para credenciais que antes ficavam espalhadas. A recomendação imediata da empresa é revogar e recriar as chaves e revisar o uso recente. A pergunta mais difícil para quem compra essas ferramentas é outra: quantos serviços terceiros guardam hoje uma chave de API de IA da organização, e quantos deles ainda rodam um sistema que o fornecedor já planejava desligar.