OpenCode, el agente de programación de código abierto que muchos desarrolladores usan como alternativa a Claude Code y Cursor, ha sufrido un hackeo en el que le han robado API keys a parte de sus usuarios. Los atacantes entraron en un sistema antiguo de OpenCode Console, su plataforma online, y según TechCrunch usaron esas claves para gastar en las cuentas de OpenAI, Anthropic y Google de sus dueños. Hay usuarios con cargos de cientos de dólares y algunos por encima de los 1.000.
Lo que hace la historia más rara es lo que vino después: cuando el equipo de OpenCode pidió ayuda a modelos de IA para analizar el código malicioso, los modelos se negaron a mirarlo.
Puntos clave
- Afectados: el 1,4% de los usuarios de OpenCode Console, todos avisados por email el sábado 17 de octubre. Quien no ha recibido el correo, según la empresa, no está afectado.
- Qué se robó: API keys (las claves con las que un programa paga y usa un modelo de IA) que algunos usuarios guardaban en sus espacios de trabajo de Console.
- Qué no se tocó: la app de código abierto y la herramienta de línea de comandos. Esas claves nunca pasan por los servidores de OpenCode.
- Daño: cargos no autorizados de cientos de dólares por cuenta, alguno por encima de 1.000 dólares. OpenCode dice que los reembolsos están en marcha.
- Respuesta de los proveedores: Anthropic y Google bloquearon las claves expuestas. OpenAI trabajó con OpenCode para devolver el acceso y reembolsar el crédito gastado en el ataque.
Qué ha pasado
OpenCode lo contó en X con una frase corta: habían sufrido una brecha "relacionada con un ataque de destilación a gran escala" que afectó al 1,4% de los usuarios de Console. La destilación es la técnica de sacar millones de respuestas a un modelo grande para entrenar con ellas uno propio más barato. Para eso hace falta mucho volumen de llamadas, y unas claves robadas son la forma de pagarlo con el dinero de otro. También sirven para llegar a modelos americanos desde países donde el acceso está restringido.
Ojo con esa palabra, porque no todo el mundo la compra. TechCrunch recoge que varios escépticos ven en el término "destilación" una forma de vestir lo que sería una brecha normal y corriente, y que el uso de las claves para destilar no está demostrado. OpenCode no ha explicado cómo entraron los atacantes, cómo guardaba las claves ni hasta dónde llegó el abuso. La propia empresa dice que el incidente sigue abierto.
Los primeros en darse cuenta fueron los usuarios, durante la noche del viernes al sábado. Empezaron a saltar alertas de gasto en Reddit y en X. Un desarrollador contó que vio dispararse a la vez las alertas de OpenAI, Anthropic y Google antes de irse a dormir, sin entender qué pasaba.
Dax Raad, cofundador de OpenCode, insistió en acotarlo: lo hackeado es OpenCode Console, el servicio online. La herramienta que la gente instala en su ordenador queda fuera. Si usas el agente en local con tus claves, esas claves no pasan por ellos.
¿Me afecta el hackeo de OpenCode?
Solo si tenías cuenta en OpenCode Console y guardabas allí API keys, y además has recibido el email de aviso de la empresa. Si usas OpenCode solo como app o desde la terminal, la empresa dice que tus claves no estuvieron expuestas.
Aun así, si alguna vez metiste una clave en Console, yo la cambiaría igual. Cuesta dos minutos y el incidente no está cerrado.
Cómo proteger tus API keys si usabas OpenCode Console
Son los pasos que OpenCode ha pedido a los afectados, más la comprobación de gasto que hizo saltar la alarma:
1. Revisa tu correo (también spam) por si tienes el aviso de OpenCode del 17 de octubre. 2. Entra en el panel de cada proveedor cuya clave tuvieras en Console (OpenAI, Anthropic, Google) y revoca esa clave directamente allí, no desde OpenCode. 3. Crea una clave nueva en ese mismo panel y sustitúyela en tus herramientas. 4. Mira el gasto de los últimos días en cada proveedor. Si ves consumo que no es tuyo, pide el reembolso: OpenCode y OpenAI ya han dicho que están devolviendo los cargos del ataque.
Los modelos se negaron a ayudar a defenderse
Aquí está la parte que ha encendido la discusión. Raad contó que los atacantes llevaban 48 horas intentando entrar sin parar, y que el equipo tuvo que dejar agentes de IA defensivos funcionando las 24 horas. Los modelos que usaron para analizar el ataque ayudaron un rato. Luego, cuando el código malicioso que les pasaban activaba sus filtros de seguridad, dejaron de responder. "Eso fue un poco frustrante", escribió Raad.
La salida llegó cuando OpenCode consiguió acceso a Daybreak Blue, el programa de OpenAI que da a equipos verificados modelos menos propensos a negarse a trabajo de defensa. Lo contamos cuando OpenAI lanzó GPT-5.6-Cyber dentro de Daybreak Red y Blue. Según Raad, con ese acceso pudieron investigar el ataque mucho mejor.
No es la primera vez que pasa. En julio, Hugging Face contó que los modelos comerciales le bloquearon el análisis de los registros de una intrusión de agentes autónomos, que luego resultaron ser modelos de la propia OpenAI con las salvaguardas rebajadas durante una prueba. En su informe lo resumió así: los frenos de los modelos no distinguen a quien responde a un incidente de quien ataca.
David Sacks, copresidente del consejo asesor de ciencia y tecnología de la Casa Blanca, lo dijo más claro en X: OpenCode y antes Hugging Face se toparon con el mismo muro en mitad del ataque, y "los frenos salieron por la culata". Investigadores de seguridad llevan tiempo quejándose de lo mismo, y TechCrunch apunta que algunos se están yendo a modelos abiertos extranjeros que cualquiera descarga y usa sin filtros.
El contexto: GLM-5.3 gratis y una semana de ataques con IA
Hay un detalle de calendario que no ayuda. La brecha ocurrió la misma noche en que OpenCode puso gratis GLM-5.3-Flash para sus usuarios. La familia GLM-5.3, de la china Z.ai, es la que Anthropic señaló hace tres semanas porque fabrica exploits a un nivel que antes solo tenían modelos de acceso restringido como Claude Mythos. No hay nada que conecte los dos hechos, pero la coincidencia está ahí.
Y llega en mala semana. Hoy mismo Reuters ha contado que un hacker usó agentes de IA para atacar 1.200 webs por unos 5.000 dólares. A principios de mes CrowdStrike atribuyó a un atacante con base en China el uso de un agente de pentesting y de Claude contra bancos de Corea del Sur. Y la agencia de ciberseguridad de India avisó la semana pasada de agentes de IA, algunos en pruebas de las propias empresas de IA, entrando sin permiso en sistemas de organizaciones indias. La destilación, por su parte, ya es guerra abierta: Anthropic dice que corta entre el 90% y el 99% de los intentos de copiar Claude.
Por qué importa
Si en tu empresa alguien usa herramientas de IA con API keys propias, este caso enseña dónde está el riesgo: en cada servicio de terceros donde se pega una clave para "no tener que configurarla otra vez". Una clave de OpenAI o Anthropic es una tarjeta de crédito sin límite si nadie le ha puesto uno.
Lo que haría esta semana: pedir al equipo una lista de qué herramientas tienen claves vuestras guardadas, revocar las que no se usan y poner topes de gasto y alertas en cada proveedor. Las alertas fueron lo que avisó a los usuarios de OpenCode antes de que el agujero creciera.
Y la segunda lectura es para quien lleva la seguridad. Si tu plan para responder a un ataque es "se lo pasamos a ChatGPT o a Claude", puede que el modelo se niegue justo cuando más lo necesitas. Mejor saber antes a qué programa de acceso para defensores podéis apuntaros.
Fuente original: TechCrunch
Relacionado
