Entenda: Vazamento no OpenCode expõe chaves de IA da Google, OpenAI e Anthropic

Um incidente de segurança na plataforma OpenCode comprometeu as chaves de acesso a serviços de inteligência artificial (IA) de empresas como OpenAI, Anthropic e Google. A invasão ocorreu na noite de sexta-feira (16) e atingiu um sistema antigo do OpenCode Console , a versão em nuvem do assistente de programação. O serviço permite que equipes salvem credenciais para que os integrantes usem os modelos de IA sem ter acesso direto ao código secreto.

A OpenCode confirmou que a falha afetou 1,4% dos usuários do Console que mantinham provedores externos conectados. As vítimas foram avisadas por e-mail no dia seguinte à invasão para cancelar imediatamente as chaves expostas nas plataformas de origem. Como elas funcionam como credenciais de acesso livre, qualquer pessoa de posse desses dados consegue realizar requisições cobradas na conta do proprietário. Assim, a remoção simples da chave no painel do OpenCode não impede o uso indevido por terceiros.

A empresa relacionou a invasão a uma investida mais ampla do setor de tecnologia: “Tivemos uma violação de segurança relacionada a um ataque de destilação em grande escala que impactou 1,4% dos usuários do OpenCode Console”, informou a companhia, em posicionamento oficial publicado no X (antigo Twitter).

A destilação ocorre quando invasores extraem um volume massivo de respostas de modelos avançados para treinar sistemas concorrentes ou revender o acesso no mercado ilegal.

Embora a OpenCode declare que os dados apenas “podem ter sido expostos”, diversos clientes relatam ter descoberto cobranças por chamadas que não realizaram . O desenvolvedor Colin Parsons afirmou no X que teve um prejuízo de US$ 281 na conta da OpenAI e de US$ 168 na Anthropic . Outro usuário, Preston Zeller, calculou as perdas em US$ 1.700 após a invasão das credenciais. Relatos em fóruns como o Reddit também apontam gastos não autorizados de US$ 400 na Anthropic e cerca de € 200 no Google , o que provocou a suspensão temporária de projetos por uso abusivo.

As chaves salvas diretamente nos computadores das pessoas a partir do aplicativo para desktop ou da interface de linha de comando da ferramenta não sofreram impacto. O cofundador da OpenCode , Dax Raad, reforçou a distinção em resposta pública no X ao explicar que a vulnerabilidade ficou restrita à nuvem: “Observe que este é o OpenCode Console , não o OpenCode em si, essas chaves nunca vêm até nós”, garantiu o executivo.

Em nota publicada no X, a engenheira de software Lydia Hallie afirmou que a Anthropic atuou diretamente no bloqueio dos acessos suspeitos: “Trabalhamos com a OpenCode no incidente e revogamos as chaves da API do Claude que acreditamos terem sido afetadas”, explicou.

A investida contra a infraestrutura do assistente continuou nos dias seguintes ao anúncio da falha. Em declarações feitas no dia 18 de outubro no X, Dax Raad revelou que os criminosos mantiveram a pressão sobre os servidores da empresa. Segundo o executivo, os cibercriminosos tentaram atacar os sistemas de forma ininterrupta por 48 horas , o que exigiu o uso de agentes automatizados de defesa para conter as invasões e reforçar a proteção do serviço.

Diante do vazamento, as orientações enviadas pela OpenCode e os manuais de segurança das criadoras dos modelos indicam que os afetados acessem os painéis de controle da OpenAI , Anthropic ou Google para deletar as chaves antigas e gerar novas. As empresas recomendam que os desenvolvedores atualizem os aplicativos vinculados e façam uma varredura no histórico de faturamento desde o dia 16 de outubro.

Para reduzir os riscos de novos prejuízos, as provedoras recomendam definir limites de gastos mensais e configurar alertas automáticos de orçamento nas plataformas. Outra prática sugerida nas documentações é a emissão de chaves individuais para cada projeto ou aplicação, o que restringe o impacto e facilita o rastreamento em caso de vazamentos.

Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.

Mais lidas 1 . Audi RS 3 retorna com a mesma essência, mas em nova embalagem

Carga de GPUs RTX 5090 avaliada em R$ 2,5 milhões desaparece no Aeroporto de Guarulhos

Oportunidade: smart TV de 50 polegadas QLED por menos de R$ 1.900 na Amazon

Acer Nitro V16: conheça as diferenças entre os quatro modelos de notebooks gamers

Lootboxes e ANPD: o bilhete dourado e a tranca que falta

note this is the OpenCode Console, not OpenCode itself, those keys never come to us

they've been non stop trying to attack our systems for the past 48 hours a side effect is everything is getting hardened but damn we basically need agents going 24/7 because that's what they have

Reiteramos nosso compromisso em indicar apenas produtos e promoções curados e selecionados pelos nossos especialistas, sempre levando em consideração a experiência dos nossos leitores.

Sempre verifique códigos e descontos. Lojas e marcas podem alterar ou encerrar ofertas a qualquer momento.