Hack em OpenCode expõe APIs e gera cobranças de até US$ 1.000
Ataque a um sistema legado do OpenCode Console expôs chaves de API de 1,4% dos usuários, gerou cobranças não autorizadas em serviços de IA e forçou corrida para bloquear credenciais e reembolsar afetados.
Segurança Digital
Vulnerabilidade em sistema legado do OpenCode Console causou cobranças indevidas e risco para usuários.
Leia também: Startup de IA Tolan capta US$ 30 mi para assistente virtual
Um ataque hacker a um sistema antigo do OpenCode Console expôs chaves de API de 1,4% dos usuários da plataforma e resultou em cobranças não autorizadas em serviços de inteligência artificial como OpenAI, Anthropic e Google, com relatos de prejuízos que vão de centenas a mais de 1.000 dólares por conta. A OpenCode corre agora para bloquear credenciais, colaborar com as provedoras de IA e reembolsar os desenvolvedores afetados.
Invasão em sistema legado e corrida para conter prejuízo
O ataque ocorreu durante a madrugada, quando invasores conseguiram acessar um sistema legado ligado ao OpenCode Console, ambiente on-line usado por desenvolvedores para guardar chaves de API que conectam seus projetos a modelos de IA. Com essas credenciais, os hackers dispararam um volume atípico de requisições, consumindo créditos e gerando faturas altas nas contas de OpenAI, Anthropic e Google dos usuários.
Em comunicado, a empresa resumiu o incidente como um vazamento de segurança ligado a um possível “distillation attack”, tipo de operação que exige grandes quantidades de saídas de modelos de IA. “We had a security breach last night related to a large-scale distillation attack that impacted 1,4% of OpenCode Console users”, informou a OpenCode, acrescentando que todos os atingidos foram avisados por e-mail.
Nas horas seguintes, desenvolvedores passaram a relatar em redes sociais alertas de gastos disparando de forma simultânea em diferentes provedores. Houve registros de cobranças na casa de centenas de dólares em contas individuais, além de casos que ultrapassaram 1.000 dólares, afetando tanto programadores independentes quanto equipes que dependem da automação de agentes de IA em escala.
Anthropic e Google bloquearam as chaves que consideraram possivelmente expostas, enquanto a OpenAI trabalhou em conjunto com a OpenCode para restaurar acessos e iniciar o estorno de créditos usados no ataque. A OpenCode afirma que o processo de reembolso de cobranças indevidas já está em andamento.
Console afetado, app principal preservado
Segundo a empresa, o incidente ficou restrito ao Console, não atingindo o aplicativo open-source principal nem a ferramenta de linha de comando usada por muitos desenvolvedores. O cofundador Dax Raad tentou separar as responsabilidades técnicas ao explicar que as chaves não eram mantidas sob controle direto da companhia.
“Note this is the OpenCode Console, not OpenCode itself, those keys never come to us”, escreveu Raad em uma das postagens em que detalhou os esforços da equipe. Na prática, porém, o fato de o Console funcionar como hub de integrações colocou sob risco direto usuários que dependiam dele para organizar credenciais de acesso a modelos de terceiros.
A OpenCode ainda não divulgou como os invasores conseguiram entrar no sistema antigo nem o método exato usado para extrair e explorar as chaves. A empresa recomenda que todos os usuários que armazenaram credenciais no Console revoguem e substituam imediatamente suas chaves diretamente nos painéis de OpenAI, Anthropic, Google e demais provedores de IA com os quais se conectam.
Por que os modelos de IA dificultaram a defesa do ataque?
O episódio expôs um paradoxo que especialistas em segurança já vinham apontando: os mesmos filtros de segurança instalados em modelos avançados de IA para frear abusos também podem atrapalhar a análise técnica de ataques em andamento. No caso da OpenCode, a equipe passou cerca de 48 horas sob tentativas constantes de invasão, mantendo agentes defensivos baseados em IA rodando sem parar para entender o que acontecia.
Em um primeiro momento, modelos convencionais de IA apoiaram a análise dos códigos e payloads suspeitos. À medida que a equipe aprofundou a investigação e os trechos de exploração ficaram mais explícitos, porém, esses modelos começaram a recusar tarefas de revisão por entenderem que os conteúdos violavam as próprias políticas de segurança.
Dax Raad relatou a frustração da equipe ao ver os sistemas automáticos travarem justamente quando eram mais necessários. “[T]hat was a bit frustrating”, escreveu o cofundador, ao descrever como pedidos legítimos de defesa eram barrados por filtros treinados para rejeitar qualquer interação com malware ou técnicas de exploração.
A virada veio quando a OpenCode conseguiu acesso ao programa Daybreak Blue, da OpenAI, que oferece a usuários selecionados modelos com menos barreiras para trabalhos de segurança defensiva. Com essas versões menos restritas, a equipe aumentou a capacidade de inspecionar exploits e reconstruir o caminho usado pelos atacantes dentro da infraestrutura do Console.
“Os freios de segurança saíram pela culatra”
A dificuldade da OpenCode em usar modelos de IA tradicionais para se defender não é um caso isolado. Em episódios recentes, outras empresas relataram situação semelhante, na qual modelos comerciais bloquearam tentativas de analisar logs e scripts potencialmente maliciosos, incapazes de distinguir entre um atacante tentando criar uma ofensiva e um analista tentando desmontá-la.
David Sacks, co-presidente do Conselho Presidencial de Consultores em Ciência e Tecnologia dos Estados Unidos, citou o caso de forma direta ao comentar o ataque. “OpenCode (and earlier Hugging Face) hit the same wall mid-attack: frontier models refused to analyze the very exploits needed for defense because the payloads tripped safety filters. The guardrails backfired”, afirmou.
Na prática, a crítica aponta para uma assimetria: invasores podem recorrer a modelos menos regulados ou a versões abertas sem filtros rígidos para planejar ataques, enquanto defensores que operam em ambientes corporativos esbarram em camadas de proteção que não distinguem uso legítimo de uso malicioso. Com isso, equipes de segurança acabam forçadas a buscar acesso excepcional a modelos de alto risco ou recorrer a soluções open-source fora do ecossistema tradicional para continuar investigando.
Entenda o contexto
O ataque à OpenCode ocorre em meio a um aumento de incidentes cibernéticos potencializados por agentes de IA, que conseguem automatizar desde varreduras em busca de vulnerabilidades até tentativas coordenadas de invasão a grandes infraestruturas. Plataformas que centralizam chaves de API — como o Console da OpenCode — tornam-se alvos particularmente valiosos, já que um único ponto de falha permite acesso em cadeia a diversos serviços de IA.
Nesse cenário, empresas que oferecem modelos com menos restrições de uso, seja para pesquisa em segurança ou para aplicações avançadas, enfrentam o desafio de equilibrar guardrails capazes de impedir abuso sem atrapalhar times defensivos em situações reais de crise. A própria OpenCode vinha ganhando tração entre desenvolvedores como alternativa a outros agentes de código, e no dia do ataque havia liberado gratuitamente o modelo GLM-5.3-Flash, descrito por pesquisadores como próximo de sistemas mais fechados em termos de capacidade para tarefas de cibersegurança.
O caso também ressalta a interdependência do ecossistema de IA: um ataque focado em uma plataforma intermediária foi suficiente para mobilizar provedores como OpenAI, Anthropic e Google, ao mesmo tempo em que abalou a confiança de usuários em ferramentas que prometem facilitar a integração com múltiplos modelos. Enquanto a OpenCode não detalha o vetor exato da invasão nem a extensão completa das perdas, desenvolvedores e empresas que dependem intensamente de APIs de IA seguem em alerta para revisar práticas de armazenamento de chaves e reforçar suas próprias camadas de proteção.
Fonte: matéria original
