Il 18 ottobre 2026 Dax Raad, cofondatore di OpenCode, ha riferito che gli aggressori avevano tentato di accedere ai sistemi dell’azienda nelle 48 ore precedenti e che OpenCode stava rafforzando le proprie difese. Il giorno prima, OpenCode aveva segnalato un’intrusione che avrebbe potuto esporre chiavi API salvate in OpenCode Console. Secondo l’azienda, era coinvolto l’1,4% degli utenti di Console con provider esterni collegati, avvisati via email. Dax Raad e OpenCode hanno pubblicato queste dichiarazioni il 18 e il 17 ottobre.
Quali credenziali riguardava l’avviso
Il 17 ottobre Dax Raad aveva precisato che l’incidente riguardava OpenCode Console, il servizio ospitato, e non l’applicazione OpenCode. La sua dichiarazione aiuta a distinguere le chiavi collegate a Console da quelle configurate su un server locale.
Per il server locale, la documentazione di OpenCode dice che le chiavi API e i token OAuth salvati vengono conservati in un database SQLite. Il percorso abituale è ~/.local/share/opencode/opencode.db, ma può cambiare in base a XDG_DATA_HOME, al canale di rilascio o a OPENCODE_DB. Le credenziali supportate tramite variabili d’ambiente vengono lette dal processo del server e non sono salvate come account. La documentazione sui provider descrive queste modalità di archiviazione.
Per capire quale configurazione usavi, controlla se avevi collegato il provider a OpenCode Console oppure se avevi salvato la credenziale sul server locale. La distinzione identifica il tipo di archiviazione, senza estendere l’avviso a ogni configurazione locale.
Revoca e controllo dell’utilizzo
Rimuovere una chiave da Console non la revoca presso il provider: resta utilizzabile finché il provider non la disattiva. The Hacker News ha spiegato questa distinzione nel suo resoconto dell’incidente. Per una chiave OpenAI che sospetti possa essere esposta, OpenAI consiglia di eliminarla dalla dashboard API, controllare l’attività e contattare l’assistenza. La guida ufficiale di OpenAI indica questi passaggi.
OpenCode ha consigliato agli utenti di controllare l’attività presso i provider almeno dal 16 ottobre, secondo quanto riferito da The Hacker News. Il servizio Console inoltra le richieste attraverso un gateway e conta quell’utilizzo nei propri budget; il provider addebita i token. La documentazione di OpenCode su Console spiega il funzionamento del gateway. Il budget di Console, quindi, non sostituisce la revoca presso il provider: una chiave usata al di fuori del gateway non rientra nel conteggio del budget Console.
Se OpenAI disattiva un account
Per un account disattivato, OpenAI indica di presentare ricorso tramite il link nell’email di avviso o il modulo ufficiale. Se non hai ricevuto l’avviso e hai perso l’accesso all’account, la guida di OpenAI indirizza alla chat dell’Help Center e consiglia di fornire gli identificativi dell’account, il contesto d’uso, il periodo sospetto e i passaggi già intrapresi. La procedura di ricorso non determina l’esito del singolo caso.
