El agente de programación de código abierto OpenCode ha ganado popularidad recientemente entre los desarrolladores como alternativa a Claude Code y Cursor. La empresa indicó el sábado que los atacantes invadieron su sistema más antiguo en una sola noche, afectando al 1,4% de los usuarios en la plataforma en línea OpenCode Console. Algunos usuarios almacenan en esta plataforma claves API para acceder a los servicios de IA, es decir, contraseñas digitales.
Mientras el equipo de OpenCode intenta hacer frente al ataque, esta respuesta de emergencia también pone de manifiesto un problema cada vez más grave: las empresas que utilizan modelos de IA no revisados y con menos restricciones de acceso tienen dificultades para resistir ataques cibernéticos masivos impulsados por IA.
OpenCode escribió en X: "Ayer por la noche sufrimos una vulnerabilidad de seguridad relacionada con un ataque de destilación a gran escala que afectó al 1.4% de los usuarios de OpenCode Console. Hemos notificado por correo electrónico a todos los usuarios afectados esta mañana." La empresa indicó que los usuarios que no recibieron el correo no fueron afectados.
La empresa no ha explicado cómo ocurrió este ataque de destilación. Sin embargo, las claves API filtradas podrían haber ayudado a usuarios en países con acceso restringido al modelo estadounidense a generar la gran cantidad de salidas necesarias para este proceso. Algunos escépticos consideran que esta afirmación es exagerada y sostienen que el incidente fue simplemente una intrusión común, cuyo uso para la destilación aún no se ha confirmado.
Esa noche, los desarrolladores comenzaron a publicar alertas de gastos e información sobre cargos no autorizados en Reddit y X. Un desarrollador escribió: "Antes de dormir, vi que todas mis alertas de gastos de OpenAI, Anthropic y Google AI sonaron, y no sabía qué estaba pasando."
Otros usuarios indicaron que se les cobró cientos de dólares por cuenta; algunos señalaron que el monto total superó los 1000 dólares.
Anthropic y Google bloquearon las claves API que consideraron comprometidas, mientras que OpenAI indicó que colaboró con OpenCode para restaurar el acceso y reembolsó a sus clientes de API los puntos utilizados durante el ataque. OpenCode afirmó que los reembolsos por cargos no autorizados están en proceso.
Las claves expuestas solo afectan a Console, y algunos usuarios las almacenaron en sus espacios de trabajo. El cofundador Dax Raad indicó que las aplicaciones de código abierto y las herramientas de línea de comandos no se vieron afectadas. Escribió en X: “Tengan en cuenta que se trata de OpenCode Console, no de OpenCode en sí; esas claves nunca llegaron a nuestros sistemas.”
A pesar de que los usuarios y las empresas de IA están intentando desactivar estas claves expuestas, el equipo de OpenCode sigue bajo presión. Raad dijo que los atacantes han intentado constantemente infiltrarse en su sistema durante 48 horas consecutivas, obligando al equipo a mantener agentes de defensa de IA funcionando las 24 horas. Los modelos de IA utilizados por el equipo de OpenCode para el análisis inicialmente ayudaron, pero comenzaron a rechazar trabajar cuando el código malicioso que se les pedía revisar activó los filtros de seguridad.
Él escribió en X: "Esto es un poco frustrante."
Luego, OpenCode obtuvo acceso al programa Daybreak Blue de OpenAI. Este programa proporciona a los usuarios revisados modelos de IA con menos restricciones en las solicitudes de trabajo de seguridad defensiva. Raad indicó que este acceso mejoró la capacidad del equipo para investigar este ataque.
OpenCode no es la primera empresa en enfrentar este problema. En julio, la plataforma de IA Hugging Face indicó que los modelos de IA comerciales impidieron su análisis de los registros de un ataque iniciado por agentes de IA autónomos; OpenAI posteriormente reveló que estos agentes eran en realidad sus propios modelos, con restricciones de seguridad reducidas durante las pruebas. Hugging Face escribió en un artículo de blog titulado "Problema asimétrico" que los mecanismos de protección "no pueden distinguir entre el respondiente y el atacante".
Los investigadores de seguridad también han expresado quejas similares, señalando que estas restricciones no son coherentes y han impulsado a algunas personas a recurrir a modelos de peso abiertos y extranjeros, ya que cualquiera puede descargar y ejecutar estos modelos.
El evento de este fin de semana también generó una respuesta del copresidente del Comité Asesor del Presidente de EE.UU. sobre Ciencia y Tecnología, David Sacks.
Escribió en X: "OpenCode (y anteriormente Hugging Face) chocaron contra el mismo muro a mitad del ataque: los modelos de vanguardia rechazaron analizar las explotaciones necesarias para la defensa, ya que la carga activó los filtros de seguridad. Las barreras tuvieron el efecto contrario."
Esta intrusión ocurrió la misma noche en que OpenCode puso gratuitamente a disposición de los usuarios a GLM-5.3-Flash. La serie más amplia GLM-5.3 ha atraído la atención de investigadores que estudian modelos de pesos de código abierto, quienes señalan que las capacidades de ciberseguridad de esta serie se han acercado al nivel previamente asociado con modelos de acceso restringido, como el Claude Mythos Preview de Anthropic.
OpenCode aún no ha detallado cómo los atacantes accedieron al sistema antiguo, cómo se almacenaban las claves o el alcance completo de cualquier uso indebido. La empresa ha solicitado a los usuarios afectados que revocaran y reemplazaran directamente sus claves con sus proveedores de servicios respectivos. La empresa indicó que este incidente aún está en curso.
Esta invasión ocurre en un momento en que los incidentes cibernéticos impulsados por IA están aumentando. A principios de este mes, la empresa de ciberseguridad CrowdStrike indicó que un hacker supuestamente proveniente de China podría haber utilizado agentes de prueba de penetración de IA y Claude en un ataque contra bancos coreanos. La semana pasada, la agencia de ciberseguridad de la India advirtió que agentes de IA, incluidos algunos probados por empresas de IA, habían ingresado sin autorización a los sistemas de organizaciones indias.