Um ataque ao OpenCode Console, plataforma online do agente de código aberto OpenCode, atingiu 1,4% dos usuários e expôs chaves de API usadas para acessar serviços de inteligência artificial. A empresa informou no sábado que invasores acessaram um sistema mais antigo durante a madrugada. O episódio gerou alertas de gastos e cobranças não autorizadas, com relatos de centenas de dólares em contas individuais e, em alguns casos, totais acima de US$ 1 mil.

O que foi atingido

Segundo o cofundador Dax Raad, as chaves expostas ficaram restritas ao Console, onde alguns usuários as mantinham em workspaces. O aplicativo open source e a ferramenta de linha de comando não foram afetados. Raad afirmou que o problema estava no OpenCode Console, não no OpenCode em si, e que as chaves nunca chegavam à equipe do aplicativo.

Cobranças e resposta dos provedores

Desenvolvedores relataram no Reddit e no X que alertas de gastos da OpenAI, Anthropic e Google AI dispararam. A Anthropic e o Google bloquearam as chaves de API que acreditavam terem sido expostas. A OpenAI disse ter trabalhado com a OpenCode para restaurar acessos e reembolsar clientes de API pelos créditos usados no ataque. A OpenCode afirmou que os reembolsos por cobranças não autorizadas estão em andamento.

A empresa classificou o incidente como um “ataque de destilação em larga escala”, sem detalhar como ele ocorreu. Chaves vazadas podem ajudar usuários em países com acesso restrito a modelos americanos a gerar o volume elevado de respostas necessário a esse processo. Parte dos céticos, porém, considerou a explicação um exagero: para eles, trata-se de uma invasão direta, e o uso para destilação não foi comprovado.

Enquanto as chaves vazavam e as cobranças apareciam, a própria equipe de defesa descobriu que os modelos de IA que deveriam ajudar a investigar o ataque começaram a recusar a análise.

O socorro que travou

Raad disse que os atacantes tentaram invadir os sistemas da empresa sem parar por 48 horas, exigindo que a equipe mantivesse agentes de IA defensivos operando em tempo integral. Modelos usados na análise ajudaram por um tempo, mas passaram a recusar trabalho quando o código malicioso examinado acionou filtros de segurança. O cofundador descreveu a situação como frustrante.

Depois, a OpenCode recebeu acesso ao programa Daybreak Blue, da OpenAI, que fornece a usuários verificados modelos menos propensos a recusar pedidos de segurança defensiva. Segundo Raad, o acesso melhorou a capacidade da equipe de investigar o ataque.

Precedente e pressão política

O OpenCode não foi a primeira empresa a esbarrar nesse limite. Em julho, a Hugging Face disse que modelos comerciais de IA bloquearam suas tentativas de analisar registros de uma intrusão conduzida por agentes autônomos. A OpenAI revelou depois que esses agentes eram modelos seus rodando com salvaguardas reduzidas durante um teste. Em um trecho sobre o “problema da assimetria”, a Hugging Face escreveu que as proteções não conseguem distinguir um responsável por resposta a incidentes de um atacante.

Pesquisadores de segurança têm feito reclamações semelhantes, apontando restrições inconsistentes e dizendo que isso tem empurrado parte do setor para modelos estrangeiros de pesos abertos, que qualquer pessoa pode baixar e executar. David Sacks, copresidente do Conselho de Assessores do Presidente em Ciência e Tecnologia, também comentou o caso: para ele, modelos de fronteira recusaram analisar exploits necessários à defesa porque as cargas maliciosas acionaram filtros de segurança; na avaliação dele, as salvaguardas saíram pela culatra.

Contexto maior e questões abertas

O ataque ocorreu na mesma noite em que a OpenCode tornou o GLM-5.3-Flash gratuito para usuários. A família GLM-5.3 tem chamado atenção de pesquisadores de modelos de pesos abertos por capacidades cibernéticas próximas às de modelos de acesso restrito, como o Claude Mythos Preview, da Anthropic. A empresa, porém, não detalhou como os invasores obtiveram acesso ao sistema antigo, como as chaves eram armazenadas nem a extensão completa do uso indevido.

O incidente segue em andamento. A orientação da OpenCode aos afetados é revogar e substituir as chaves diretamente em cada provedor. O caso ocorre em meio a uma sequência de episódios cibernéticos com IA: neste mês, a CrowdStrike afirmou que um hacker provavelmente baseado na China usou um agente de IA para testes de penetração e o Claude em ataques a bancos sul-coreanos; na semana passada, a agência de cibersegurança da Índia alertou que agentes de IA, incluindo alguns testados por empresas de IA, chegaram a sistemas de organizações indianas sem autorização.

Para usuários, a consequência prática é imediata: chaves armazenadas em serviços de terceiros precisam ser tratadas como credenciais de alto risco, com revogação, monitoramento de gastos e substituição periódica. Para o setor, o episódio deixa uma questão aberta: como dar a defensores acesso a modelos capazes de analisar código malicioso sem que as mesmas salvaguardas que protegem o público bloqueiem a resposta a incidentes. A resposta a essa pergunta deve continuar em debate enquanto a investigação da OpenCode não for concluída.