Em 17 de outubro de 2026, a OpenCode informou que um acesso não autorizado atingiu um sistema legado ligado ao OpenCode Console na noite anterior, 16 de outubro. A empresa disse que 1,4% dos usuários do Console foram afetados e que chaves de provedores externos salvas em espaços de trabalho poderiam ter sido expostas. O comunicado da OpenCode atribuiu o percentual à própria empresa.
Segundo a OpenCode, os usuários afetados receberam um aviso por e-mail; a empresa disse que quem não recebeu a mensagem não havia sido impactado. O grupo atingido, afirmou, era composto por usuários do Console com provedores externos vinculados.
Quais credenciais podem ter sido expostas
O aviso enviado pela OpenCode dizia que chaves de provedores de terceiros, como OpenAI e Anthropic, salvas em espaços de trabalho poderiam ter sido expostas. A informação foi reproduzida pela Infosecurity Magazine.
O escopo divulgado diz respeito ao OpenCode Console, serviço hospedado. Dax Raad, colaborador do OpenCode, esclareceu que o incidente envolveu o Console, não o cliente OpenCode. Para credenciais adicionadas pelo comando local /connect, a documentação da OpenCode indica o caminho ~/.local/share/opencode/auth.json. São formas distintas de armazenamento.
O que OpenCode e Anthropic disseram
A OpenCode afirmou em 17 de outubro que trabalhava com Anthropic, OpenAI e Google para responder ao incidente e o relacionou a um ataque de destilação em larga escala. Na mesma data, Lydia Hallie, da Anthropic, disse que a empresa havia revogado chaves de API do Claude que acreditava terem sido afetadas. A declaração de Hallie se refere às chaves que a Anthropic considerava atingidas.
Como revisar e substituir as chaves
A Safeguard recomenda inventariar as chaves de provedores salvas nos espaços de trabalho do Console, inclusive as adicionadas por outros administradores, e revisar o uso e a cobrança nos painéis dos provedores desde 16 de outubro. A orientação da empresa de segurança organiza a troca das credenciais nesta sequência:
- Crie chaves substitutas e atualize com elas os aplicativos e ambientes que usam as credenciais antigas.
- Depois que as substitutas estiverem implantadas, revogue as chaves antigas.
- Teste se as credenciais revogadas falham na autenticação.
Um alerta de gastos não interrompe o uso de uma chave: segundo a Safeguard, ele apenas notifica o titular da conta. Alertas, limites de gastos e revogação são controles separados.
