El 17 de octubre de 2026, OpenCode comunicó que un acceso no autorizado a un sistema antiguo vinculado a Console había afectado al 1,4 % de los usuarios de Console. Claves API de proveedores guardadas en algunos espacios de trabajo podrían haber quedado expuestas, según la empresa. OpenCode situó el acceso en la noche del 16 de octubre. Su comunicado describió el incidente como relacionado con un ataque de destilación a gran escala.
Qué comunicó OpenCode
OpenCode dijo que el grupo afectado estaba formado por usuarios de Console que tenían proveedores externos vinculados y que les había enviado un correo electrónico. La empresa afirmó que quienes no recibieron ese aviso no estaban afectados. La proporción del 1,4 % corresponde a usuarios de Console, no al conjunto de usuarios de OpenCode.
La notificación enviada por OpenCode decía que claves de proveedores externos guardadas en espacios de trabajo podían haberse expuesto. Citaba OpenAI y Anthropic como ejemplos, según el texto reproducido por Infosecurity Magazine.
Console y el cliente local guardan las claves por rutas distintas
La comunicación se refiere a OpenCode Console, el servicio alojado, no al cliente local de OpenCode. Dax Raad aclaró esa diferencia en una publicación en X. Por separado, la documentación de OpenCode indica que las claves de proveedores añadidas desde el cliente con /connect se guardan en ~/.local/share/opencode/auth.json.
Qué respuesta comunicaron OpenCode y Anthropic
OpenCode dijo el 17 de octubre que trabajaba con Anthropic, OpenAI y Google para responder al incidente. Ese mismo día, Lydia Hallie, de Anthropic, afirmó que Anthropic había revocado las claves API de Claude que creía afectadas, según la conversación en X.
Cómo revisar y sustituir las claves
Safeguard recomienda inventariar las claves de proveedores que se hayan guardado en cualquier espacio de trabajo de Console, incluidas las añadidas por otros administradores, y revisar el uso y la facturación de cada proveedor desde el 16 de octubre. Su secuencia para sustituirlas es:
- Crear y desplegar claves nuevas.
- Actualizar todas las aplicaciones y entornos que usaban las claves antiguas.
- Revocar las claves antiguas.
- Comprobar que las claves revocadas ya no autentican solicitudes.
Una alerta de gasto solo avisa al titular de la cuenta: no revoca la clave. Safeguard distingue las alertas de gasto de los límites de gasto y de la revocación, que son controles separados. (Recomendaciones de Safeguard)
