OpenCode Console Breach May Have Exposed OpenAI, Anthropic, and Google API Keys
The Hacker News · 19 oct, 08:07
Un intruso accedió a un sistema heredado de OpenCode la noche del 16 de octubre y puede haber expuesto las claves API de OpenAI, Anthropic y Google que los usuarios guardaban en OpenCode Console. Alrededor del 1,4% de los usuarios de Console fueron afectados, y OpenCode les pidió que revocaran esas claves de inmediato. La brecha está relacionada con un ataque de distilación a gran escala, y algunos usuarios ya han reportado cargos no autorizados en sus cuentas, desde $168 hasta $1.700 en uso de API.
OpenCode Console es un servicio alojado donde los equipos guardan las claves de proveedores de IA para que los miembros puedan usar los modelos sin ver directamente las credenciales. El intruso obtuvo acceso a través de un sistema heredado y potencialmente copió todas las claves guardadas en la plataforma. Como las claves API son credenciales de portador, cualquiera que las posea puede hacer solicitudes facturables contra la cuenta del propietario hasta que el proveedor las revoque.
La empresa reconoció que el incidente está relacionado con una campaña de distilación de modelos de IA. Anthropic informó en septiembre que estos ataques utilizan redes de cuentas falsas creadas con tarjetas de crédito robadas, credenciales de acceso y claves API cosechadas. Los usuarios afectados reportan cargos sin autorizar: Colin Parsons perdió $281 en OpenAI y $168 en Anthropic, Preston Zeller reportó pérdidas de $1.700, y otros usuarios mencionan entre €200 y $400 en uso no autorizado. OpenCode indicó que los atacantes continuaban intentando penetrar sus sistemas activamente más de 48 horas después del descubrimiento del incidente.
Puntos clave
- 1,4% de usuarios de Console afectados; revoca las claves de cada proveedor de inmediato
- Revisa uso y facturación en OpenAI, Anthropic y Google desde al menos el 16 de octubre
- Configura límites de gasto y crea claves separadas para cada herramienta en cada proveedor
- El ataque está relacionado con campañas de distilación de modelos de IA a gran escala