OpenCode, un agente de programación con IA de código abierto que gana terreno entre desarrolladores como alternativa a Claude Code y Cursor, informó el sábado que unos atacantes entraron durante la noche a un sistema antiguo. La intrusión afectó al 1,4% de los usuarios de OpenCode Console, su plataforma en línea, donde algunos guardan las claves de API (las contraseñas digitales con que acceden a servicios de IA).
Mientras el equipo de OpenCode intentaba seguirle el ritmo al ataque, la respuesta dejó a la vista un problema que crece, según TechCrunch. Las empresas sin acceso verificado a modelos de IA con menos restricciones de seguridad tienen dificultades para defenderse de ciberataques masivos impulsados por IA.
"Anoche tuvimos una brecha de seguridad relacionada con un ataque de destilación a gran escala que afectó al 1,4% de los usuarios de OpenCode Console", escribió la empresa en X. "Esta mañana les avisamos a todos por correo." Los usuarios que no recibieron ese correo no se vieron afectados, según la compañía.
La empresa no detalló cómo ocurrió el ataque de destilación. Las claves de API filtradas pueden ayudar a usuarios de países con acceso restringido a los modelos estadounidenses a generar el gran volumen de respuestas que exige ese proceso. Algunos escépticos consideraron exagerado ese encuadre y sostuvieron que se trató de una brecha común y corriente, sin pruebas de que se usara para destilar modelos.
Cobros de cientos de dólares
Durante la noche, varios desarrolladores publicaron en Reddit y X alertas de gasto y cobros no autorizados. "Vi que mis alertas de gasto de OpenAI, Anthropic y Google AI se dispararon todas antes de acostarme, preguntándome qué estaba pasando", escribió uno de ellos.
Otros usuarios reportaron cobros de cientos de dólares en cuentas individuales, y unos pocos describieron totales por sobre los 1.000 dólares.
Anthropic y Google bloquearon las claves de API que creían expuestas. OpenAI dijo que trabajó con OpenCode para restablecer el acceso y devolver a sus clientes de API los créditos usados en el ataque. OpenCode informó que los reembolsos por cobros no autorizados están en curso.
Las claves expuestas se limitaron a Console, donde algunos usuarios las tenían guardadas en espacios de trabajo. La aplicación de código abierto y la herramienta de línea de comandos no se vieron afectadas, según el cofundador Dax Raad. "Ojo, esto es OpenCode Console, no OpenCode en sí; esas claves nunca nos llegan", escribió en X.
¿Por qué los modelos de IA no ayudaron a defenderse?
Aun con usuarios y empresas de IA desactivando las claves expuestas, el equipo de OpenCode seguía bajo presión. Raad dijo que los atacantes llevaban 48 horas intentando entrar a sus sistemas sin pausa, lo que obligó al equipo a mantener agentes defensivos de IA funcionando todo el día. Los modelos de IA a los que recurrió el equipo para el análisis ayudaron un rato, pero empezaron a negarse a trabajar cuando el código malicioso que debían examinar activó sus filtros de seguridad.
"Eso fue un poco frustrante", escribió en X.
Más tarde, OpenCode obtuvo acceso a Daybreak Blue, el programa de OpenAI que entrega a usuarios verificados modelos con menos tendencia a rechazar pedidos de trabajo de seguridad defensiva. Según Raad, ese acceso mejoró la capacidad del equipo para investigar el ataque.
OpenCode no es la primera empresa que choca con esa pared. En julio, la plataforma de IA Hugging Face informó que modelos comerciales de IA bloquearon sus intentos de analizar los registros de actividad de una intrusión hecha por agentes autónomos de IA. OpenAI reveló después que esos agentes eran sus propios modelos, corriendo con las salvaguardas rebajadas durante una prueba. En una sección de su informe titulada "El problema de la asimetría", Hugging Face escribió que las barreras de seguridad "no pueden distinguir a quien responde a un incidente de un atacante".
Investigadores de seguridad han planteado quejas parecidas. Dicen que las restricciones son inconsistentes y que han empujado a algunos hacia modelos extranjeros de pesos abiertos, que cualquiera puede descargar y correr.
El episodio del fin de semana provocó una respuesta de David Sacks, copresidente del Consejo de Asesores en Ciencia y Tecnología del Presidente de Estados Unidos.
"OpenCode (y antes Hugging Face) chocaron con la misma pared en pleno ataque: los modelos de frontera se negaron a analizar los mismos exploits que hacían falta para defenderse, porque las cargas activaban los filtros de seguridad. Las barreras salieron por la culata", escribió en X.
GLM-5.3-Flash gratis la misma noche
La brecha ocurrió la misma noche en que OpenCode dejó GLM-5.3-Flash gratis para sus usuarios. La familia GLM-5.3 ha llamado la atención de investigadores que estudian modelos de pesos abiertos, quienes notan que sus capacidades de ciberseguridad se acercaron a niveles que antes se asociaban a modelos de acceso restringido como Claude Mythos Preview, de Anthropic.
OpenCode no ha detallado cómo los atacantes entraron al sistema antiguo, cómo se guardaban las claves ni el alcance total del mal uso. A los usuarios afectados les pidió revocar y reemplazar sus claves directamente con cada proveedor. La empresa dijo que el incidente sigue en curso.
La brecha se suma a una serie de incidentes de ciberseguridad con IA. A comienzos de octubre, la firma CrowdStrike dijo que un hacker con base en China probablemente usó un agente de IA de pruebas de penetración, que sondea sistemas en busca de debilidades, y a Claude en ataques contra bancos de Corea del Sur. La semana pasada, la agencia de ciberseguridad de India advirtió que agentes de IA, incluidos algunos en pruebas de empresas de IA, llegaron sin autorización a sistemas de organizaciones indias.
