Hackean OpenCode y hacen compras por más de US$1.000 en cuentas de OpenAI, Anthropic y Google
El incidente afectó al 1,4% de los usuarios de OpenCode Console y provocó cargos no autorizados de cientos de dólares, con algunos casos de hasta US$ 1.700. El episodio también puso en evidencia las dificultades que enfrentan los equipos de seguridad cuando los propios modelos de IA se niegan a analizar código malicioso.
OpenCode, una herramienta de código abierto que permite utilizar agentes de inteligencia artificial para programar, sufrió una brecha de seguridad que terminó trasladando el costo del ataque a las cuentas de algunos de sus usuarios. Los atacantes accedieron a un sistema antiguo de OpenCode Console, la plataforma en línea donde los desarrolladores pueden almacenar sus claves de acceso a servicios de IA, y las utilizaron para generar consumo no autorizado.
El incidente se produjo durante la noche del viernes al sábado, según la información publicada por la compañía. OpenCode informó que el ataque afectó al 1,4% de los usuarios de Console y que notificó por correo electrónico a todas las personas identificadas como afectadas. Quienes no recibieron ese mensaje, aseguró la empresa, no estaban incluidos entre los perjudicados.
Las consecuencias económicas comenzaron a aparecer en Reddit y X, donde desarrolladores publicaron alertas de gasto que no podían explicar. Un usuario relató que había recibido notificaciones de consumo de OpenAI, Anthropic y Google antes de acostarse. Otros reportaron cargos de cientos de dólares en sus cuentas individuales, mientras algunos señalaron que las pérdidas superaban los US$ 1.000.
La respuesta de los proveedores fue bloquear las claves que consideraron comprometidas. Anthropic y Google desactivaron las credenciales expuestas, mientras OpenAI colaboró con OpenCode para restablecer el acceso y reembolsar a sus clientes los créditos utilizados durante el ataque. OpenCode también anunció que estaba procesando devoluciones por los cargos no autorizados.
La empresa describió el incidente como un ataque de extracción de conocimiento, conocido como distillation, una técnica que permite utilizar las respuestas de un modelo para entrenar o mejorar otro. Sin embargo, OpenCode no explicó cómo se produjo el ataque ni aportó pruebas concluyentes de que la extracción de conocimiento fuera efectivamente su objetivo. Algunos críticos consideraron que esa interpretación iba más allá de lo que se podía demostrar, dado que los hechos también eran compatibles con una intrusión convencional.
La distinción importa porque las claves de acceso a modelos de IA no son simples contraseñas: permiten consumir servicios que suelen facturarse según el volumen de uso. Si un atacante obtiene esas credenciales, puede convertir la capacidad de procesamiento de otra persona en un recurso que utiliza y factura a su víctima.
OpenCode aclaró que la intrusión se limitó a Console. La aplicación de código abierto y la herramienta de línea de comandos no fueron afectadas, según su cofundador Dax Raad. Las claves comprometidas estaban almacenadas en espacios de trabajo de algunos usuarios de la plataforma web, no en la aplicación local.
La compañía recomendó a los afectados revocar y reemplazar sus claves directamente con cada proveedor de IA. También advirtió que el incidente seguía en curso y que el equipo llevaba 48 horas enfrentando intentos continuos de intrusión.
El problema de defenderse con IA
La brecha expuso otra dificultad menos visible, pero relevante para la industria. Durante la investigación, OpenCode recurrió a modelos de IA para analizar código sospechoso y comprender lo ocurrido. Sin embargo, algunos dejaron de colaborar cuando el material malicioso activó sus filtros de seguridad.
El equipo terminó encontrándose con una paradoja: las herramientas que podían ayudar a detectar y explicar un ataque también podían negarse a examinar los elementos necesarios para hacerlo. Raad describió esa limitación como frustrante.
La situación cambió cuando OpenCode obtuvo acceso al programa Daybreak Blue de OpenAI, que ofrece a usuarios previamente evaluados modelos con menos probabilidades de rechazar solicitudes legítimas de seguridad defensiva. Según Raad, ese acceso mejoró la capacidad del equipo para investigar el incidente.
No se trata de un problema aislado. En julio, Hugging Face informó que modelos comerciales habían bloqueado sus intentos de analizar registros de una intrusión relacionada con agentes autónomos de IA. OpenAI reveló posteriormente que los agentes involucrados eran modelos propios que operaban con salvaguardas reducidas durante una prueba.
El contexto aumenta la relevancia del caso. A comienzos de octubre, CrowdStrike señaló que un atacante probablemente vinculado con China había utilizado un agente de pruebas de penetración basado en IA y Claude en ataques contra bancos surcoreanos. La semana anterior, la agencia de ciberseguridad de India había advertido sobre agentes de IA que habían alcanzado sistemas de organizaciones sin autorización.
La brecha de OpenCode, por tanto, combina dos riesgos. Por un lado, las credenciales de acceso a modelos pueden convertirse en una fuente de gastos imprevistos cuando quedan expuestas. Por otro, las defensas basadas en IA todavía pueden fallar en un momento crítico si sus restricciones impiden analizar amenazas reales. La seguridad de estas herramientas no depende únicamente de la sofisticación de los modelos, sino también de cómo se protegen las credenciales, se delimitan los permisos y se habilita una respuesta eficaz ante incidentes.
Comentarios