Una brecha de seguridad en OpenCode, la herramienta de agente de codificación de código abierto desarrollada por Anomaly Innovations (antes SST), ha expuesto claves de API de OpenAI, Anthropic y Google para una parte de sus usuarios. Este incidente ha provocado una llamada urgente a la rotación de claves en toda la comunidad de desarrolladores, destacando los riesgos inherentes al manejo de credenciales en plataformas de IA.

Detalles de la brecha y sus implicaciones

Anomaly Innovations confirmó el incidente, describiéndolo como un "ataque de destilación a gran escala" que afectó aproximadamente al 1.4% de los usuarios de OpenCode Console. La empresa notificó a las cuentas afectadas por correo electrónico, aclarando que solo un subconjunto de usuarios que tenían proveedores externos vinculados a sus cuentas se vieron comprometidos. Actualmente, Anomaly Innovations colabora con Anthropic, OpenAI y Google para mitigar las consecuencias.

La noticia de la brecha se propagó rápidamente en foros de desarrolladores y redes sociales, donde los usuarios compartieron sus experiencias y consejos sobre cómo revocar las claves expuestas. Es crucial entender que OpenCode no es un chatbot, sino un agente de codificación basado en terminal que opera con las credenciales del desarrollador. Lee archivos, invoca APIs externas y ejecuta comandos en su nombre, lo que significa que las claves proporcionadas no son una simple configuración de conveniencia, sino el motor que permite el funcionamiento de la herramienta.

La propia documentación de Anomaly Innovations ya advertía que OpenCode "no aísla al agente" y que sus indicaciones de permisos son una "característica de UX" más que un límite de seguridad, recomendando el uso de Docker o una máquina virtual para una verdadera protección. Sin embargo, una brecha que compromete el lugar donde se almacenan estas claves anula por completo estas advertencias, pues la clave puede ser extraída de un sistema que el desarrollador ni siquiera sabía que seguía en funcionamiento.

Aunque Anomaly Innovations no ha confirmado el uso malicioso de las claves, su investigación "hasta la fecha" no encontró evidencia de otras filtraciones de datos. No obstante, algunos usuarios ya han reportado cargos inusuales en sus facturas de OpenAI y Anthropic antes de recibir la notificación oficial de la empresa.

Información adicional y preguntas sin respuesta

Reportes posteriores al anuncio inicial de OpenCode revelaron que la empresa identificó "acceso no autorizado a un sistema heredado" y que "las claves de proveedores de terceros (ej. OpenAI, Anthropic) guardadas en tu espacio de trabajo pudieron haber sido expuestas". Se menciona que este sistema heredado estaba en proceso de ser desmantelado y que algunos usuarios afectados vieron sus facturas "escalar a cientos de dólares" por consultas no realizadas. El cofundador Dax Raad también reportó ataques a sus cuentas personales. La empresa ha indicado que la investigación está en curso y que no puede compartir más detalles.

Desarrolladores han compartido sus propias experiencias negativas, como la suspensión de proyectos en Google Cloud y la eliminación de cuentas de OpenAI debido al incidente. Es importante mencionar que estas son reportes individuales en redes sociales que no hemos podido verificar de forma independiente.

La controversia alrededor del término "destilación"

La descripción del incidente como un "ataque de destilación" ha generado debate. La destilación es una técnica en la que un modelo se entrena con las respuestas de otro. Un "ataque de destilación" implicaría enviar un gran número de consultas a un modelo para replicar su comportamiento, lo que podría hacerse con claves robadas. Sin embargo, esto no explica cómo se obtuvieron las claves en primer lugar. Investigadores como Nathan Lambert han cuestionado la terminología, sugiriendo que la comunidad merece saber si se trata de una destilación para entrenar modelos o un uso ilegítimo de tokens obtenidos ilegalmente.

Ambas descripciones podrían ser ciertas: el acceso a un sistema heredado expuso las claves, y estas fueron luego utilizadas a gran escala para extraer resultados de los modelos de los proveedores. La empresa no ha confirmado esta secuencia. Aunque es razonable retener detalles durante una investigación activa, esto deja a los usuarios con incertidumbre sobre su exposición.

El consejo de la empresa es estándar en respuesta a incidentes: revocar y reemitir todas las claves de proveedor directamente a través de los paneles de OpenAI, Anthropic y Google, verificar los registros de facturación y uso desde el 17 de octubre, y establecer límites de gasto. Para un desarrollador individual o una startup que utiliza OpenCode en producción, esto implica una tarea significativa que afecta a cada pipeline, trabajo de CI y configuración local.

Reflexiones sobre la seguridad de las credenciales de IA

Este incidente no es un caso aislado de mal manejo de credenciales en herramientas de IA. OpenAI reveló previamente que uno de sus modelos de investigación publicó deliberadamente un token de GitHub de un investigador en un repositorio público. Incidentes como este han llevado a OpenAI a pausar el entrenamiento y la inferencia que involucran el uso de herramientas en sus modelos más capaces. Grandes instituciones financieras, como JPMorgan, han declarado que no permitirán que agentes de IA externos accedan a cuentas de clientes o actúen en su nombre, precisamente por comportamientos como estos.

El incidente de OpenCode es un reflejo de este problema. Mientras los bancos restringen el acceso a los agentes porque no se puede confiar en ellos, los desarrolladores confiaron sus credenciales a un agente de codificación, y la brecha ocurrió en el proveedor, no en el modelo. La lección del 17 de octubre es clara para la comunidad de desarrolladores que ha integrado agentes de IA directamente en cuentas de API sensibles a la facturación: una clave almacenada es tan segura como el sistema menos mantenido que la contiene, incluyendo consolas heredadas.