Vulnerabilidade de segurança na OpenCode expõe chaves de API de principais provedores de IA

A OpenCode divulgou uma vulnerabilidade de segurança em 16 de outubro, afetando 1,4% de seus usuários. O incidente envolveu um 'ataque de destilação' que comprometeu um sistema desatualizado que estava em processo de desativação. Os usuários afetados, que haviam vinculado provedores de serviços externos, receberam notificações por e-mail em 17 de outubro. A vulnerabilidade pode ter exposto chaves de API para OpenAI, Anthropic e Google, permitindo acesso não autorizado e gerando cobranças inesperadas. Um usuário relatou uma cobrança não autorizada de $400 em sua conta da Anthropic, enquanto outro notou uma cobrança de €200 nos serviços do Google, com seu projeto suspenso por 'uso indevido'. Alguns usuários receberam alertas da OpenAI e da Anthropic antes de serem notificados pela OpenCode. A empresa está colaborando com essas empresas para resolver o problema. Os usuários também notaram que receberam alertas de uso da OpenAI e da Anthropic antes da notificação oficial da OpenCode. A OpenCode enfatizou que apenas os usuários conectados a serviços externos foram afetados, e aqueles que não receberam um e-mail não foram afetados. A empresa ainda não divulgou mais detalhes, pois o incidente ainda está sob investigação.