OpenCode, un agente de programación de IA de código abierto que ha ganado popularidad entre los desarrolladores como alternativa a Claude Code y Cursor, informó el sábado de que los atacantes lograron acceder a un sistema antiguo durante la noche, afectando al 1.4% de los usuarios de su plataforma en línea, OpenCode Console, donde algunos usuarios almacenan las claves de API o contraseñas digitales que utilizan para acceder a los servicios de IA.
Mientras el equipo de OpenCode luchaba por mantenerse al día con el ataque, la carrera para responder destacó un problema en crecimiento: las empresas que no tienen acceso verificado a modelos de IA con menos restricciones de seguridad tienen dificultades para defenderse de ataques cibernéticos de gran escala impulsados por la IA.
“Anoche tuvo lugar una brecha de seguridad relacionada con un ataque de destilación a gran escala que afectó al 1.4% de los usuarios de OpenCode Console”, escribió la empresa en X. “Les hemos notificado a todos esta mañana por correo electrónico”. La empresa indicó que los usuarios que no recibieron un correo electrónico no se vieron afectados.
Mientras que la empresa no especificó cómo ocurrió el ataque de destilación, las claves de API filtradas pueden ayudar a los usuarios en países con acceso restringido a los modelos estadounidenses a generar la gran cantidad de salidas necesarias para ese proceso. Algunos escépticos calificaron este enfoque como un exceso, argumentando que el incidente fue una brecha simple cuya utilización para la destilación aún no ha sido comprobada.
Durante la noche, los desarrolladores comenzaron a publicar alertas sobre gastos y cargos no autorizados en Reddit y X.Vi cómo mi Open AI, Anthropic y Google AI emitían alertas en todo momento antes de ir a dormir, preguntándose qué estaba pasando“, un desarrollador escribió.
Otros usuarios informaron sobre cargos de cientos de dólares en cuentas individuales; algunos describieron totales superiores a $1,000.
Anthropic y Google bloquearon las claves de API que creían que habían sido expuestas, mientras que OpenAI dijo que trabajaba con OpenCode para restablecer el acceso y reembolsar a sus clientes de API los créditos utilizados en el ataque. OpenCode afirmó que los reembolsos por cargos no autorizados están en curso.
Las claves expuestas se limitaron a la Consola, donde algunos usuarios las tenían en los espacios de trabajo. La aplicación de código abierto y la herramienta de línea de comandos no se vieron afectadas, según el cofundador Dax Raad. “Tenga en cuenta que esta es la Consola OpenCode, no OpenCode en sí; esas claves nunca llegan a nosotros”, escribió en X.
Incluso cuando los usuarios y las empresas de IA intentaron desactivar las teclas expuestas, el equipo de OpenCode seguía bajo presión. Raad dijo que los atacantes habían estado intentando acceder a sus sistemas durante 48 horas, lo que obligó al equipo a mantener en funcionamiento los agentes defensivos de IA todo el tiempo. Los modelos de IA a los que recurrió el equipo de OpenCode para el análisis ayudaron durante un tiempo, pero comenzaron a rechazar el trabajo cuando el código malicioso que se les pedía examinar activó los filtros de seguridad.
“[T]uvo un poco de frustración”, escribió en X.
OpenCode recibió posteriormente acceso al programa Daybreak Blue de OpenAI, que proporciona a los usuarios verificados modelos de IA que tienen menos probabilidades de rechazar solicitudes relacionadas con trabajos de seguridad defensiva. Raad dijo que este acceso mejoró la capacidad del equipo para investigar el ataque.
OpenCode no es la primera empresa que se encuentra con este obstáculo. En julio, la plataforma de IA Hugging Face dijo que los modelos comerciales de IA bloquearon sus intentos de analizar los registros de actividad derivados de una intrusión por parte de agentes de IA autónomos, algo que OpenAI más tarde reveló como si fueran sus propios modelos operando con medidas de seguridad reducidas durante un test. En una sección de su artículo de blog titulada “El problema de la asimetría”, Hugging Face escribió que esas medidas de seguridad “no pueden distinguir entre un responder al incidente y un atacante”.
Los investigadores de seguridad han presentado quejas similares, señalando que las restricciones son inconsistentes y han llevado a algunos a modelos de tipo “open-weight” extranjeros, que cualquiera puede descargar y ejecutar.
El episodio del fin de semana recibió una respuesta de David Sacks, copresidente del Consejo de Asesores del Presidente sobre Ciencia y Tecnología.
“OpenCode (y Hugging Face anterior) se encontró con el mismo obstáculo durante el ataque: los modelos de frontera se negaron a analizar las técnicas necesarias para la defensa, ya que los payloads superaban los filtros de seguridad. Los controles de seguridad funcionaron al revés”, escribió en X.
La brecha ocurrió la misma noche que OpenCode hecho GLM-5.3-Flash gratuito para usuarios. La familia más amplia GLM-5.3 incluye dibujado atención de los investigadores que estudian modelos de peso abierto y se observa que sus capacidades de ciberseguridad alcanzaron niveles anteriormente asociados con modelos de acceso restringido, como el Claude Mythos Preview de Anthropic.
OpenCode no ha detallado cómo los atacantes obtuvieron acceso al sistema antiguo, cómo se almacenaban las claves o el alcance total de cualquier uso indebido. Ha indicado a los usuarios afectados que revoquen y reemplacen directamente sus claves con cada proveedor. La empresa afirmó que el incidente continúa activo.
La brecha ocurrió en medio de una serie de incidentes cibernéticos impulsados por IA. A principios de este mes, la empresa de ciberseguridad CrowdStrike informó que un hacker con sede en China probablemente utilizó un agente de prueba de penetración de IA, que explora los sistemas informáticos en busca de vulnerabilidades, y Claude en ataques contra bancos surcoreanos. La semana pasada, la agencia de ciberseguridad de India advirtió que agentes de IA, incluyendo algunos probados por empresas de IA, habían accedido a los sistemas de organizaciones indias sin autorización.