El 18 de octubre, Dax Raad dijo que habían intentado acceder a los sistemas de OpenCode durante las 48 horas anteriores y que la empresa los estaba reforzando. Un día antes, OpenCode había advertido de que una intrusión de la noche anterior podía haber expuesto claves de proveedores vinculadas a OpenCode Console. Según la empresa, el incidente afectó al 1,4 % de los usuarios de Console que tenían proveedores externos vinculados, y OpenCode dijo que les había enviado un correo.

Qué comunicó OpenCode sobre las claves

En su aviso del 17 de octubre, OpenCode describió el incidente como relacionado con un ataque de destilación a gran escala. La empresa situó el grupo afectado en el 1,4 % de los usuarios de Console con proveedores externos vinculados y dijo que quienes no recibieron el correo no estaban afectados. Aviso de OpenCode

Dónde se guardan las credenciales

Dax Raad, cofundador de OpenCode, aclaró el 17 de octubre que el incidente concernía a OpenCode Console. Su declaración distingue ese servicio de la aplicación OpenCode.

La documentación de OpenCode explica que las claves de API y los tokens OAuth guardados en la CLI se almacenan en una base de datos SQLite del servidor. La ruta habitual es ~/.local/share/opencode/opencode.db, aunque puede cambiar según XDG_DATA_HOME, el canal de lanzamiento o OPENCODE_DB. Las credenciales compatibles definidas mediante variables de entorno las lee el proceso del servidor y no se guardan como cuentas. Documentación de OpenCode CLI

En Console, una pasarela alojada añade la credencial del proveedor a cada solicitud antes de reenviarla. Las solicitudes que pasan por esa pasarela cuentan para los presupuestos de Console, mientras que el proveedor factura el uso por tokens. Documentación de OpenCode Console

Qué hacer con una clave vinculada

Si guardaste una clave de proveedor en Console, revócala desde la cuenta de ese proveedor. Borrar la clave en Console no la invalida en el servicio externo, según informó The Hacker News. OpenCode también aconsejó revisar el uso del proveedor desde, al menos, el 16 de octubre.

Para una clave de OpenAI, la empresa recomienda eliminarla desde el panel de API, revisar la actividad y contactar con soporte si se sospecha que se ha comprometido. Guía de seguridad de OpenAI

Si OpenAI desactiva una cuenta

OpenAI indica que se puede apelar mediante el enlace incluido en el correo de desactivación o a través de su formulario oficial. Si no recibiste ese aviso y has perdido el acceso, la empresa dirige al chat del Centro de ayuda. Para esa consulta, pide incluir los identificadores de usuario u organización, el contexto de uso, las fechas del posible compromiso y las medidas ya tomadas. Instrucciones de OpenAI para apelar una desactivación