OpenCode Console: brecha expone claves API de proveedores de IA

OpenCode, el agente de programación con IA de código abierto desarrollado por la empresa Anomaly, confirmó el sábado 17 de octubre de 2026 un acceso no autorizado a OpenCode Console, el servicio que custodia las claves API de los proveedores de modelos en nombre de los equipos. Las claves de OpenAI, Anthropic y Google guardadas en los espacios de trabajo de parte de los usuarios podrían haber quedado expuestas, y varios usuarios ya denuncian cargos no autorizados.

La noticia la recogen BleepingComputer, Infosecurity Magazine y The Hacker News; los detalles que siguen proceden de las dos primeras, que citan la comunicación enviada a los usuarios y las declaraciones de los responsables del proyecto.

Qué ha pasado

Según Infosecurity Magazine, la Console permite a los equipos compartir el acceso a los modelos de IA con credenciales gestionadas de forma centralizada: en lugar de repartir las claves de los proveedores a cada desarrollador, la Console las guarda para cada espacio de trabajo y las usa para autenticar las peticiones a los proveedores.

El correo a los usuarios afectados, que algunos de ellos han publicado en Reddit y Discord, habla de un acceso no autorizado a un sistema heredado en proceso de retirada y advierte de que las claves de proveedores terceros guardadas en el espacio de trabajo podrían haber quedado expuestas. Según BleepingComputer, el mismo correo indica como primer momento posible de la exposición el 17 de octubre de 2026 a las 00:30 UTC y afirma que no consta la exposición de otros datos.

Las cifras que da OpenCode:

• afectado el 1,4% de los usuarios de la Console, solo los que tenían proveedores externos vinculados;
• todos los afectados recibieron un correo: según el proyecto, quien no lo recibió no está afectado;
• Dax Raad, cofundador de Anomaly, precisa que el incidente afecta solo a la Console y no a OpenCode como herramienta.

OpenCode relaciona el incidente con un ataque de destilación a gran escala: el uso masivo y no autorizado de modelos potentes para recoger sus respuestas y entrenar modelos más pequeños. Según Raad, citado por BleepingComputer, los atacantes atacaron los sistemas de la empresa durante al menos 48 horas usando agentes de IA. Las fuentes no explican cómo se produjo el acceso al sistema heredado.

Las consecuencias para los usuarios

Según BleepingComputer, los usuarios denuncian cargos indebidos desde unos cientos de dólares hasta 1.700 dólares en una sola noche, y Google suspendió algunos proyectos de Google Cloud por «actividad abusiva compatible con recursos secuestrados». La comunicación de OpenCode menciona la posibilidad de reembolsos. OpenCode dice que trabaja con Google, OpenAI y Anthropic para gestionar el incidente, sin más detalles.

Solo BleepingComputer recoge un detalle sobre la respuesta: la investigación interna se habría bloqueado cuando los modelos de IA que usaba OpenCode empezaron a rechazar las peticiones por sus protecciones integradas, y la situación se habría estabilizado con el modelo de seguridad Daybreak de OpenAI.

Una segunda noticia: RCE corregida sin aviso

El 19 de octubre Pillar Security publicó una vulnerabilidad de ejecución remota de código en OpenCode; solo la recoge Infosecurity Magazine y, según el investigador Eilon Cohen, no tiene relación con la brecha de la Console.

• Versiones afectadas: de la 1.0.137 a la 1.18.32, en Windows y WSL.
• Vector: un servidor MCP remoto controlado por el atacante puede ejecutar código arbitrario en la máquina del desarrollador durante la autenticación OAuth del protocolo MCP, sin más interacción ni consentimiento.
• Causa: en Windows, una dependencia usada para abrir URL las pasaba a PowerShell sin el escape correcto, y la shell interpretaba parte de la URL como un comando. La carga útil puede ir dentro de una URL HTTPS de aspecto legítimo, así que comprobar el esquema de la URL no basta.
• Corrección: versión 1.18.33, del 28 de septiembre de 2026, que añade la comprobación del esquema y actualiza la dependencia a una versión que entrecomilla correctamente la URL. Según Pillar, la parte decisiva es la actualización de la dependencia.
• Sin CVE ni aviso de seguridad: Pillar la notificó a finales de agosto mediante GitHub Security Advisory; un mes después Anomaly respondió que los servidores MCP maliciosos quedan fuera de su modelo de amenazas. Pillar propone una puntuación CVSS 9.8 y advierte de que los escáneres y las alertas de dependencias no señalarán las instalaciones vulnerables.

Correspondencia MITRE ATT&CK orientativa, deducida de los hechos publicados: T1078.004 (Valid Accounts: Cloud Accounts) y T1496 (Resource Hijacking) para el uso de las claves robadas; T1059.001 (Command and Scripting Interpreter: PowerShell) para la vulnerabilidad RCE.

Impacto para las empresas europeas e italianas

Las claves API de los proveedores de IA son credenciales a todos los efectos: quien las tiene gasta el presupuesto de la empresa y actúa con su cuenta. Con plataformas que las custodian en nombre de los equipos, la seguridad de esas claves depende también de un proveedor externo y de sus sistemas, incluidos los que están en retirada.

Para las entidades NIS2, el artículo 21 exige gestionar la seguridad de la cadena de suministro: las herramientas de desarrollo con IA y los servicios que guardan credenciales deben inventariarse y evaluarse como cualquier otro proveedor. La RCE corregida sin CVE muestra un límite práctico: sin aviso, la gestión de vulnerabilidades basada en CVE no la ve, y hace falta saber qué versiones están instaladas.

Qué hacer ya

1. Comprueba si te afecta: busca en tu correo el mensaje con asunto «Action Required: Potential provider key breach». Aunque no lo tengas, revisa las claves por prudencia.
2. Haz una lista de todas las claves de OpenAI, Anthropic y Google Gemini guardadas alguna vez en un espacio de trabajo de la Console, incluidas las que añadieron otros administradores.
3. Revisa consumos y facturación en cada proveedor al menos desde el 16 de octubre: picos, modelos que no usas, cargos inesperados. En Google Cloud comprueba también si hay proyectos suspendidos.
4. Crea las claves nuevas y después revoca las antiguas, aunque no muestren uso sospechoso. Actualiza pipelines de CI/CD, archivos de entorno, configuraciones de los agentes y equipos del personal, y comprueba que las claves revocadas devuelven un error de autenticación.
5. Limita las claves: solo los proyectos y las API imprescindibles, topes de gasto y alertas de presupuesto. Si sigues usando la Console, vincula una clave dedicada y restringida, nunca la de producción.
6. Actualiza OpenCode a la 1.18.33 o posterior en Windows y WSL y conecta solo servidores MCP de confianza.

Las medidas de los puntos 1–5 siguen las indicaciones publicadas por Safeguard y recogidas por Infosecurity Magazine.

Cómo ayuda ARXDOME

ARX Sentry mantiene el inventario del software de ordenadores y servidores, así sabes dónde está instalado OpenCode y en qué versión aunque no exista un CVE, y recoge registros y eventos de seguridad: las ejecuciones sospechosas y el tráfico saliente bloqueado llegan a las páginas del SOC. ARX Horizon enriquece las conexiones con la reputación de las direcciones de destino.

Última actualización: 20 de octubre de 2026