Si usas OpenCode, el agente de programación que corre en la terminal, y guardaste tus llaves de OpenAI, Anthropic o Google en su servicio Console, hoy toca cambiarlas. La empresa avisó que un intruso llegó a un sistema antiguo y pudo haber visto esas llaves.
Una llave de API es como una contraseña que permite a un programa usar un servicio de pago en tu nombre. Si alguien la copia, puede gastar tu saldo sin que te enteres hasta que llega la factura.
¿Qué pasó?
La noche del 16 de octubre de 2026 un intruso entró a un sistema heredado de OpenCode, es decir, una parte vieja de su infraestructura que la empresa ya estaba apagando. Así lo informó The Hacker News con base en el aviso de la propia compañía.
El sistema afectado está ligado a OpenCode Console, un servicio opcional en la nube. Ahí un equipo de trabajo guarda su propia llave de OpenAI, Anthropic o Google, y Console la usa para llamar a esos modelos en nombre de todos los integrantes del equipo.
Según la empresa, Anomaly Innovations, antes conocida como SST, el incidente afectó a cerca del 1.4% de los usuarios de Console, y solo a quienes tenían un proveedor externo vinculado a su cuenta. El 17 de octubre envió correos a los afectados y describió el ataque como un intento de destilación a gran escala, una técnica en la que se usan las respuestas de un modelo de IA para entrenar a otro.
OpenCode dijo que trabaja con Anthropic, OpenAI y Google en la respuesta y que, hasta ahora, no ha encontrado evidencia de que se filtraran otros datos. Algunos usuarios reportaron cargos inesperados en sus cuentas de OpenAI y Anthropic, aunque los medios que cubrieron el caso no pudieron verificar esos reportes.
¿Por qué te importa?
Los agentes de programación conectan tu proyecto con modelos de IA que se cobran por uso. Cuando una llave queda expuesta, el problema no es solo de seguridad: también es una factura que puede crecer en horas, porque el atacante gasta tu crédito para hacer sus propias consultas.
Este caso también muestra el riesgo de guardar llaves en servicios intermedios. Mientras más lugares conocen tu llave, más puntos hay por donde se puede escapar. Todavía no se sabe cómo entró el intruso ni cuántas cuentas representan ese 1.4%.
Si solo usas OpenCode desde la terminal, con las llaves guardadas en tu computadora, el aviso de la empresa no te menciona. Aun así, revisar tu consumo no cuesta nada.
¿Qué puedes hacer?
- Entra directo al panel de OpenAI, Anthropic o Google, revoca la llave que tenías en OpenCode Console y genera una nueva. No uses enlaces que lleguen por correo.
- Revisa el historial de uso y de facturación de cada proveedor desde el 17 de octubre en busca de consumos que no reconozcas.
- Pon un límite de gasto diario o mensual en cada proveedor para que una llave robada no pueda generar cargos sin tope.
- Actualiza la llave nueva en tus scripts, en la integración continua y en las computadoras de tu equipo que la usaban.
- Si puedes, guarda las llaves en tu propia máquina o en un gestor de secretos y evita subirlas a servicios de terceros.
Sigue leyendo
- Un gusano en el paquete tensorlake de npm roba llaves y borra datos
- GhostAction regresa: falsas auditorías roban llaves en GitHub
Fuentes
- The Hacker News: OpenCode Console Breach May Have Exposed OpenAI, Anthropic, and Google API Keys
- Startup Fortune: OpenCode breach exposes stored OpenAI and Anthropic keys, prompts urgent key rotation
- byteiota: OpenCode Breach: Rotate Your AI Provider Keys Today
Imagen de portada: imagen de Schluesseldienst en Pixabay.