Em 18 de outubro, Dax Raad, cofundador da OpenCode, disse que invasores tentavam acessar sistemas da empresa havia 48 horas e que as proteções estavam sendo reforçadas. No dia anterior, a OpenCode havia informado que uma invasão no OpenCode Console poderia ter exposto chaves de provedores externos vinculadas ao serviço.

O que a OpenCode informou

Em 17 de outubro, a OpenCode afirmou que 1,4% dos usuários do OpenCode Console com provedores externos vinculados foram afetados e que enviou emails a esse grupo. A empresa também disse que quem não recebeu uma mensagem não havia sido afetado. Leia o comunicado da OpenCode.

Raad relatou as tentativas de acesso em uma publicação de 18 de outubro. Ele disse que a equipe reforçava os sistemas. Veja a declaração de Dax Raad.

Console e credenciais locais

O OpenCode Console é um serviço hospedado que encaminha solicitações a provedores externos por um gateway. Dax Raad distinguiu esse serviço do aplicativo OpenCode e afirmou que as chaves associadas ao Console não chegavam à OpenCode. A documentação do gateway do Console descreve como ele insere a credencial do provedor ao encaminhar uma solicitação.

No OpenCode CLI, as credenciais salvas ficam no banco de dados SQLite do servidor. O caminho usual é ~/.local/share/opencode/opencode.db, mas XDG_DATA_HOME, o canal de lançamento e OPENCODE_DB podem alterá-lo. A documentação também explica que as credenciais compatíveis definidas por variáveis de ambiente são lidas pelo processo do servidor e não ficam salvas como contas. Consulte a documentação de provedores do CLI.

Essa diferença ajuda a localizar onde uma credencial foi armazenada: no Console hospedado, no banco de dados do servidor local ou em uma variável de ambiente. A declaração da OpenCode delimitou o incidente ao Console e aos usuários com provedores externos vinculados.

Como responder a uma possível exposição

Apagar uma chave do Console não a revoga junto ao provedor. A chave precisa ser revogada no serviço que a emitiu, segundo a explicação do The Hacker News sobre o incidente. Para uma chave da OpenAI, a orientação oficial é excluí-la no painel da API, revisar o uso e contatar o suporte. Veja as recomendações de segurança da OpenAI.

Os limites de uso do Console se aplicam às solicitações encaminhadas pelo gateway, enquanto o provedor cobra pelo uso de tokens. Uma chave copiada e usada fora desse gateway não fica sob os limites de orçamento do Console, como explica o The Hacker News.

Se uma conta OpenAI for desativada

A OpenAI orienta que a pessoa use o link de recurso enviado no email de aviso ou o formulário oficial. Se não recebeu o aviso e perdeu o acesso à conta, a orientação é procurar o chat da Central de Ajuda e informar identificadores da conta, contexto de uso, o período suspeito de comprometimento e as medidas já tomadas. Consulte as instruções da OpenAI para contas desativadas.