OpenCode sofre violação por "ataque de destilação" e expõe chaves de API da OpenAI, Anthropic e Google

A OpenCode confirmou, em 17 de outubro de 2026, uma violação de segurança que expôs chaves de API de usuários vinculadas a provedores externos de inteligência artificial, segundo o Crypto Briefing. O incidente atingiu cerca de 1,4% dos usuários do Console da plataforma que tinham contas da OpenAI, Anthropic e Google conectadas, e já gerou cobranças não autorizadas em pelo menos um caso confirmado.

Segundo a análise do Crypto Briefing, o padrão do ataque é consistente com uma tentativa de "destilação em larga escala" — técnica usada para extrair respostas de modelos de ponta e treinar sistemas concorrentes sem pagar o custo computacional ou de pesquisa original. A OpenCode não confirmou publicamente essa motivação específica para os ataques.

Como as chaves de API foram expostas na OpenCode

Segundo o Crypto Briefing e o Cybersecurity News, os invasores exploraram um sistema legado que a OpenCode já estava em processo de descomissionamento. A falha permitiu acesso não autorizado às chaves de API de terceiros armazenadas nos espaços de trabalho dos usuários do Console.

Com essas credenciais em mãos, os atacantes passaram a disparar consultas repetidas contra modelos de IA de alta qualidade das três empresas afetadas — OpenAI, Anthropic e Google. O Cybersecurity News destaca que a OpenCode não revelou como os invasores conseguiram o acesso inicial ao sistema legado, nem confirmou publicamente se as chaves roubadas foram de fato usadas nas tentativas de destilação.

Usuários relataram saldo drenado

O impacto mais direto recaiu sobre quem teve as chaves comprometidas. Segundo o Crypto Briefing, contas afetadas viram o saldo cair rapidamente, com cobranças não autorizadas que, em alguns casos, chegaram a centenas de dólares.

A OpenCode disse estar trabalhando em conjunto com OpenAI, Anthropic e Google para conter o incidente e orientar os usuários afetados, mas, segundo o Cybersecurity News, a empresa afirmou não poder compartilhar mais detalhes técnicos sobre a investigação em andamento.

O que a OpenCode recomenda

A orientação oficial para quem foi notificado é revogar e trocar imediatamente as chaves de API expostas diretamente nos painéis de cada provedor, atualizar qualquer aplicação ou integração que dependesse dessas credenciais e revisar o histórico de uso recente em busca de atividade suspeita.

Por que isso importa para quem desenvolve no Brasil

O episódio é um alerta prático para desenvolvedores e empresas brasileiras que usam ferramentas de IA com chaves de API vinculadas a consoles de terceiros. Guardar credenciais de provedores como OpenAI, Anthropic e Google em plataformas externas significa confiar a segurança desses dados à infraestrutura de outra empresa — inclusive a sistemas antigos que, como neste caso, podem ficar vulneráveis justamente durante o processo de desativação.

Entre as práticas recomendadas para reduzir esse risco estão manter chaves de API apenas em variáveis de ambiente locais ou em cofres de segredos dedicados, nunca em consoles de terceiros sem necessidade, ativar limites de gasto (spending limits) direto no painel de cada provedor e trocar as chaves periodicamente, mesmo sem indício de problema.

O que esperar a partir daqui

A OpenCode ainda não detalhou publicamente o número total de contas afetadas em termos absolutos, nem se pretende indenizar usuários que tiveram cobranças indevidas. OpenAI, Anthropic e Google também não divulgaram comunicados próprios e específicos sobre o episódio até a publicação desta matéria. Usuários que usam o Console da OpenCode e vincularam chaves de provedores externos devem verificar se receberam notificação da empresa e, por precaução, revisar o histórico de cobrança de cada conta.