OpenCode sofre invasão e gera cobranças indevidas em contas de IA de usuários

A OpenCode, agente de codificação open-source que vem ganhando espaço como alternativa ao Claude Code e ao Cursor, confirmou uma invasão que expôs chaves de API de parte dos usuários de sua plataforma online. O caso também escancarou um problema maior: times de segurança têm dificuldade para usar modelos de IA↳Inteligência artificial440 conteúdosUX e IA: Transformando Experiências Digitais com Inteligência ArtificialProduto & UX · jan 2025MCP: O que é e por que você vai ouvir falar disso em breve?AI · jul 2025IA generativa e a urgência de reconstruir nossa relação com a verdadeAI · jun 2025Ver tudo em AI → comerciais na resposta a ataques, porque as próprias defesas de segurança dos modelos bloqueiam a análise do código malicioso.

O que aconteceu

A OpenCode, agente de codificação open-source que vem ganhando espaço como alternativa ao Claude Code e ao Cursor, afirmou no sábado, 17 de outubro, que invasores entraram em um sistema mais antigo da empresa durante a madrugada. O incidente atingiu 1,4% dos usuários do OpenCode Console, a plataforma online onde parte dos desenvolvedores guarda as chaves de API usadas para acessar serviços de IA.

A empresa publicou no X:

Tivemos uma violação de segurança ontem à noite, relacionada a um ataque de destilação em larga escala que impactou 1,4% dos usuários do OpenCode Console. Notificamos todos eles hoje de manhã por e-mail.

We had a security breach last night related to a large-scale distillation attack that impacted 1.4% of OpenCode Console users. We have notified them all this morning via email.OpenCode, postagem oficial no X

Segundo a empresa, quem não recebeu o e-mail de aviso não foi afetado. O incidente, de acordo com a OpenCode, segue em andamento, e a empresa ainda não detalhou como os invasores acessaram o sistema antigo, como as chaves ficavam armazenadas, nem a extensão total do uso indevido.

O que é o tal "ataque de destilação"

A OpenCode não especificou como o ataque de destilação ocorreu na prática. O conceito, em linhas gerais, descreve o uso de um modelo maior para gerar grandes volumes de saídas que treinam um modelo menor e mais barato. Chaves de API vazadas ajudam justamente nisso: elas podem permitir que alguém, principalmente em países com acesso restrito a modelos americanos, gere o volume de respostas necessário para esse processo sem pagar por ele.

Nem todo mundo compra essa versão. Parte dos céticos considerou o enquadramento de "ataque de destilação" um exagero, argumentando que o episódio foi uma invasão direta e que o uso das credenciais para destilação segue sem comprovação. De qualquer forma, o resultado prático para quem usa a ferramenta foi o mesmo: desenvolvedores relataram nas redes alertas de gasto disparando e cobranças que eles não fizeram.

Vi meus alertas de gasto da OpenAI, da Anthropic e do Google AI dispararem todos antes de eu ir dormir, me perguntando o que estava acontecendo.

I saw my Open AI, Anthropic, and Google AI spend alerts all fire off before going to bed wondering what was going on.Desenvolvedor afetado, via Reddit e X

Outros usuários relataram cobranças de centenas de dólares em contas individuais; alguns descreveram totais acima de mil dólares. A Anthropic e o Google bloquearam as chaves que acreditavam estar expostas, e a OpenAI disse ter trabalhado com a OpenCode para restaurar o acesso e reembolsar clientes de API pelos créditos usados no ataque. A própria OpenCode afirmou que os reembolsos das cobranças não autorizadas estão em andamento.

Console e ferramenta aberta são coisas diferentes

Um ponto importante para quem usa a ferramenta no dia a dia: as chaves expostas ficavam confinadas ao OpenCode Console, onde parte dos usuários as armazenava em workspaces. O aplicativo e a ferramenta de linha de comando open-source não foram afetados, segundo o cofundador Dax Raad.

Só reforçando que isso é o OpenCode Console, não o OpenCode em si, essas chaves nunca chegam até nós.

Note this is the OpenCode Console, not OpenCode itself, those keys never come to us.Dax Raad, cofundador da OpenCode

Ou seja: o risco mora especificamente em guardar credenciais de API num serviço gerenciado em nuvem de terceiros, e não no agente de código em si. É uma distinção que importa para qualquer time avaliando onde armazenar segredos de projetos que usam agentes de IA.

Quando o próprio modelo de IA atrapalha a resposta ao ataque

Raad disse que invasores tentaram arrombar os sistemas da empresa sem parar por 48 horas, obrigando o time a manter agentes de defesa baseados em IA rodando continuamente. Só que os modelos de IA usados para analisar o ataque começaram a se recusar a trabalhar assim que o código malicioso que precisavam examinar ativava os próprios filtros de segurança dos modelos.

Isso foi meio frustrante.

[T]hat was a bit frustrating.Dax Raad, cofundador da OpenCode

A OpenCode acabou recebendo acesso ao programa Daybreak Blue, da OpenAI, que libera para usuários previamente avaliados modelos com menor chance de recusar pedidos de trabalho defensivo em segurança. Com esse acesso, a empresa disse ter conseguido investigar melhor o ataque.

A situação não é inédita. Em julho, a Hugging Face relatou que modelos comerciais de IA bloquearam tentativas de analisar registros de atividade de uma invasão feita por agentes de IA autônomos, invasão que a OpenAI depois revelou ter sido provocada por seus próprios modelos rodando com proteções reduzidas durante um teste interno. Num trecho do post sobre o caso, intitulado "O problema da assimetria", a empresa escreveu:

As proteções não conseguem distinguir um responsável por resposta a incidentes de um atacante.

[Guardrails] cannot distinguish an incident responder from an attacker.Hugging Face, postagem oficial no blog da empresa

Pesquisadores de segurança já vinham levantando queixa parecida, dizendo que as restrições são inconsistentes e acabam empurrando parte do mercado para modelos de peso aberto desenvolvidos fora dos Estados Unidos, que qualquer um pode baixar e rodar sem esse tipo de filtro. O episódio da OpenCode chamou a atenção de David Sacks, copresidente do Conselho de Consultores em Ciência e Tecnologia da Presidência dos Estados Unidos:

A OpenCode (e antes a Hugging Face) bateu na mesma parede no meio do ataque: modelos de ponta se recusaram a analisar os próprios exploits necessários para a defesa, porque os payloads acionavam os filtros de segurança. As proteções saíram pela culatra.

OpenCode (and earlier Hugging Face) hit the same wall mid-attack: frontier models refused to analyze the very exploits needed for defense because the payloads tripped safety filters. The guardrails backfired.David Sacks, copresidente do Conselho de Consultores em Ciência e Tecnologia (PCAST)

Vale registrar um detalhe de contexto: a invasão aconteceu na mesma noite em que a OpenCode liberou gratuitamente o modelo GLM-5.3-Flash para seus usuários. A família GLM-5.3, mais ampla, já vinha chamando atenção de pesquisadores que estudam modelos de peso aberto por ter capacidades de cibersegurança↳Segurança171 conteúdosCibersegurança no Brasil: 6 passos para sair da estagnaçãoDevSecOps · jul 2025O papel do CISO para transformar a cibersegurança em uma alavanca de reputação para as empresasDevSecOps · mar 2024Itaipu Parquetec e Exército Brasileiro realizam exercício de cibersegurança em BrasíliaDev (Back & Front) · set 2025Ver tudo em DevSecOps → próximas às de modelos de acesso restrito, como o Claude Mythos Preview, da Anthropic. A fonte não estabelece relação de causa entre essa liberação e o ataque, apenas a coincidência de datas.

Um padrão que não é só da OpenCode

O caso se soma a uma sequência recente de incidentes cibernéticos envolvendo IA. Mais cedo neste mês, a empresa de segurança CrowdStrike disse que um hacker baseado na China provavelmente usou um agente de pentest com IA, somado ao Claude, em ataques a bancos sul-coreanos. Na semana anterior, a agência de cibersegurança da Índia alertou que agentes de IA, incluindo alguns ainda em teste por empresas do setor, acessaram sistemas de organizações indianas sem autorização.

O que muda para quem escolhe ferramenta de código assistido

Para times técnicos no Brasil que avaliam agentes como OpenCode, Claude Code ou Cursor, o episódio reforça um ponto que costuma ficar em segundo plano na hora de adotar a ferramenta: onde e como as chaves de API ficam guardadas importa tanto quanto a qualidade do agente de código. Console gerenciado em nuvem é superfície de ataque adicional, separada do núcleo open-source da ferramenta.

Na prática, algumas medidas discutidas no próprio episódio valem como checklist de adoção:

• Preferir, quando o provedor permitir, chaves de API com limite de gasto configurado, para que uma chave vazada não vire fatura de milhares de reais;
• Evitar guardar chaves de API em workspaces de serviços gerenciados de terceiros quando existir alternativa de rodar a ferramenta localmente ou com cofre de segredos próprio;
• Ter rotina definida de rotação de chaves, já que a própria OpenCode orientou os usuários afetados a revogar e trocar as credenciais diretamente com cada provedor;
• Considerar, na escolha entre agente aberto e serviço gerenciado, que a parte open-source e a parte em nuvem de uma mesma ferramenta podem ter níveis de exposição bem diferentes, como mostrou a distinção entre o OpenCode Console e o OpenCode em si.

O episódio dos guardrails travando a própria resposta ao ataque também é um dado novo para quem avalia usar modelos de IA comerciais em rotinas de segurança defensiva: a mesma proteção que impede o modelo de gerar código malicioso pode impedir que ele analise um ataque real para ajudar a contê-lo. É um trade-off que ainda não tem solução pronta, e que volta a aparecer a cada novo incidente do tipo.

Fonte: TechCrunch