O agente de programação de código aberto OpenCode tem ganhado popularidade entre desenvolvedores como alternativa ao Claude Code e ao Cursor. A empresa declarou no sábado que atacantes invadiram seu sistema mais antigo em uma única noite, afetando 1,4% dos usuários na plataforma online OpenCode Console. Alguns usuários armazenam nessa plataforma chaves API usadas para acessar serviços de IA, ou seja, senhas digitais.
Enquanto a equipe do OpenCode lida com o ataque, essa resposta de emergência também destaca um problema cada vez mais grave: empresas que utilizam modelos de IA não revisados e com poucas restrições de acesso têm dificuldade em se defender contra ataques cibernéticos em larga escala impulsionados por IA.
OpenCode escreveu no X: "Nós sofremos uma vulnerabilidade de segurança relacionada a um ataque massivo de destilação, afetando 1,4% dos usuários do OpenCode Console. Notificamos todos os usuários afetados por e-mail esta manhã." A empresa afirmou que os usuários que não receberam o e-mail não foram afetados.
A empresa não esclareceu como o ataque de destilação ocorreu. No entanto, chaves API vazadas podem ter ajudado usuários em países com acesso restrito ao modelo dos EUA a gerar a grande quantidade de saídas necessárias para o processo. Alguns céticos consideram essa afirmação exagerada, argumentando que o evento foi apenas uma invasão comum, cujo uso para destilação ainda não foi confirmado.
Na noite do incidente, os desenvolvedores começaram a postar alertas de despesas e informações sobre cobranças não autorizadas no Reddit e no X. Um desenvolvedor escreveu: “Vi todos os meus alertas de despesa da OpenAI, Anthropic e Google AI dispararem antes de dormir, sem saber o que estava acontecendo.”
Outros usuários relataram que uma única conta foi debitada em centenas de dólares; alguns poucos disseram que o total ultrapassou 1.000 dólares.
Anthropic e Google bloquearam as chaves da API que consideraram comprometidas, enquanto a OpenAI afirmou ter trabalhado com a OpenCode para restaurar o acesso e reembolsar aos seus clientes da API os créditos utilizados durante o ataque. A OpenCode afirmou que os reembolsos para cobranças não autorizadas estão em andamento.
As chaves expostas estavam limitadas ao Console, e alguns usuários as armazenaram em seus espaços de trabalho. O cofundador Dax Raad afirmou que aplicativos de código aberto e ferramentas de linha de comando não foram afetados. Ele escreveu no X: “Observe que se trata do OpenCode Console, não do OpenCode em si; essas chaves nunca chegaram até nós.”
Mesmo enquanto usuários e empresas de IA se esforçam para desativar essas chaves expostas, a equipe da OpenCode enfrenta pressão. Raad disse que os atacantes tentaram constantemente invadir seu sistema por 48 horas seguidas, forçando a equipe a operar agentes de defesa de IA em tempo integral. Os modelos de IA usados pela equipe da OpenCode para análise inicialmente ajudaram, mas começaram a recusar-se a funcionar quando o código malicioso solicitado para verificação acionou os filtros de segurança.
Ele escreveu no X: “Isso é um pouco frustrante.”
Em seguida, o OpenCode obteve acesso ao plano Daybreak Blue da OpenAI. Esse plano fornece aos usuários aprovados modelos de IA com menos restrições nas solicitações de segurança defensiva. Raad afirmou que esse acesso melhorou a capacidade da equipe de investigar o ataque.
OpenCode não é a primeira empresa a enfrentar esse desafio. Em julho, a plataforma de IA Hugging Face afirmou que modelos de IA comerciais impediram sua análise de logs de uma invasão iniciada por agentes de IA autônomos; mais tarde, a OpenAI revelou que esses agentes eram, na verdade, seus próprios modelos, com restrições de segurança reduzidas durante testes. A Hugging Face escreveu em um post de blog intitulado “Problema Assimétrico” que os mecanismos de proteção “não conseguem distinguir entre respondentes e atacantes”.
Pesquisadores de segurança também levantaram reclamações semelhantes, afirmando que essas restrições não são consistentes e impulsionaram algumas pessoas a migrar para modelos de peso abertos no exterior, pois qualquer um pode baixar e executar esses modelos.
O evento deste fim de semana também gerou uma resposta do co-presidente da Comissão Presidencial de Conselheiros de Ciência e Tecnologia dos Estados Unidos, David Sacks.
Ele escreveu no X: “OpenCode (e anteriormente o Hugging Face) encontraram a mesma parede no meio do ataque: modelos de ponta recusaram-se a analisar as explorações necessárias para a defesa, pois a carga acionou os filtros de segurança. Os guardiões tiveram o efeito contrário.”
Esta invasão ocorreu na mesma noite em que a OpenCode disponibilizou gratuitamente o GLM-5.3-Flash aos usuários. A série mais ampla GLM-5.3 atraiu a atenção de pesquisadores que estudam modelos de pesos abertos, que observaram que a capacidade de segurança cibernética dessa série está próxima do nível anteriormente associado a modelos de acesso restrito, como o Claude Mythos Preview da Anthropic.
O OpenCode ainda não detalhou como os atacantes acessaram o sistema antigo, como as chaves eram armazenadas ou a extensão completa de qualquer uso indevido. A empresa solicitou aos usuários afetados que revoguem e substituam diretamente suas chaves junto aos respectivos provedores de serviço. A empresa afirmou que este incidente ainda está em andamento.
Este ataque ocorre enquanto eventos cibernéticos impulsionados por IA estão aumentando. No início deste mês, a empresa de segurança cibernética CrowdStrike afirmou que um hacker supostamente originário da China pode ter usado agentes de teste de penetração de IA e Claude em um ataque contra bancos da Coreia do Sul. Na semana passada, a agência de segurança cibernética da Índia alertou que agentes de IA, incluindo alguns testados por empresas de IA, já entraram não autorizados em sistemas de organizações indianas.