OpenCode Console violata: esposte le chiavi API dei provider IA

OpenCode, l’agente di programmazione con IA open source sviluppato dalla società Anomaly, ha confermato sabato 17 ottobre 2026 un accesso non autorizzato a OpenCode Console, il servizio che custodisce le chiavi API dei provider di modelli per conto dei team. Le chiavi di OpenAI, Anthropic e Google salvate negli spazi di lavoro di una parte degli utenti potrebbero essere state esposte, e diversi utenti segnalano già addebiti non autorizzati.

La notizia è riportata da BleepingComputer, Infosecurity Magazine e The Hacker News; i dettagli che seguono vengono dalle prime due, che citano la comunicazione inviata agli utenti e le dichiarazioni dei responsabili del progetto.

Cosa è successo

Secondo Infosecurity Magazine, la Console permette ai team di condividere l’accesso ai modelli di IA con credenziali gestite centralmente: invece di distribuire le chiavi dei provider ai singoli sviluppatori, la Console le conserva per ogni spazio di lavoro e le usa per autenticare le richieste verso i provider.

L’email agli utenti coinvolti, resa pubblica da alcuni di loro su Reddit e Discord, parla di un accesso non autorizzato a un sistema legacy in fase di dismissione e avverte che le chiavi dei provider terzi salvate nello spazio di lavoro potrebbero essere state esposte. Secondo BleepingComputer, la stessa email indica come primo momento possibile dell’esposizione il 17 ottobre 2026 alle 00:30 UTC e afferma che non risultano esposti altri dati.

I numeri dichiarati da OpenCode:

• colpito l’1,4% degli utenti della Console, solo quelli con provider esterni collegati;
• tutti gli interessati sono stati avvisati via email: chi non l’ha ricevuta, secondo il progetto, non è coinvolto;
• Dax Raad, cofondatore di Anomaly, precisa che l’incidente riguarda solo la Console e non OpenCode come strumento.

OpenCode collega l’incidente a un attacco di distillazione su larga scala: l’uso massiccio e non autorizzato di modelli potenti per raccoglierne le risposte e addestrare modelli più piccoli. Secondo Raad, citato da BleepingComputer, gli attaccanti hanno preso di mira i sistemi della società per almeno 48 ore usando agenti di IA. Le fonti non spiegano come sia avvenuto l’accesso al sistema legacy.

Le conseguenze per gli utenti

Secondo BleepingComputer, gli utenti segnalano addebiti abusivi da alcune centinaia di dollari fino a 1.700 dollari in una sola notte, e alcuni progetti Google Cloud sono stati sospesi da Google per «attività abusiva compatibile con risorse dirottate». La comunicazione di OpenCode accenna alla possibilità di rimborsi. OpenCode dice di lavorare con Google, OpenAI e Anthropic per gestire l’incidente, senza altri dettagli.

Solo BleepingComputer riporta un dettaglio sulla risposta: l’indagine interna si sarebbe bloccata quando i modelli di IA usati da OpenCode hanno iniziato a rifiutare le richieste per le loro protezioni integrate, e la situazione si sarebbe stabilizzata con il modello di sicurezza Daybreak di OpenAI.

Una seconda notizia: RCE corretta senza avviso

Il 19 ottobre Pillar Security ha pubblicato una vulnerabilità di esecuzione di codice remoto in OpenCode; la riporta solo Infosecurity Magazine, e secondo il ricercatore Eilon Cohen non ha legami con la violazione della Console.

• Versioni colpite: da 1.0.137 a 1.18.32, su Windows e WSL.
• Vettore: un server MCP remoto controllato dall’attaccante può eseguire codice arbitrario sulla macchina dello sviluppatore durante l’autenticazione OAuth del protocollo MCP, senza altre interazioni né consenso.
• Causa: su Windows una dipendenza usata per aprire gli URL li passava a PowerShell senza l’escaping corretto, e la shell interpretava parte dell’URL come comando. Il payload può stare dentro un URL HTTPS dall’aspetto legittimo, quindi controllare lo schema dell’URL non basta.
• Correzione: versione 1.18.33, del 28 settembre 2026, che aggiunge il controllo dello schema e aggiorna la dipendenza a una versione che mette correttamente tra virgolette l’URL. Secondo Pillar la parte decisiva è l’aggiornamento della dipendenza.
• Nessun CVE né avviso di sicurezza: Pillar l’aveva segnalata a fine agosto tramite GitHub Security Advisory; un mese dopo Anomaly ha risposto che i server MCP malevoli sono fuori dal suo modello di minaccia. Pillar propone un punteggio CVSS 9.8 e avverte che scanner e avvisi sulle dipendenze non segnaleranno le installazioni vulnerabili.

Mappatura MITRE ATT&CK indicativa, ricavata dai fatti riportati: T1078.004 (Valid Accounts: Cloud Accounts) e T1496 (Resource Hijacking) per l’uso delle chiavi sottratte; T1059.001 (Command and Scripting Interpreter: PowerShell) per la vulnerabilità RCE.

Impatto per le aziende europee e italiane

Le chiavi API dei provider di IA sono credenziali a tutti gli effetti: chi le possiede consuma il budget dell’azienda e agisce con il suo account. Con piattaforme che le custodiscono per conto dei team, la sicurezza di quelle chiavi dipende anche da un fornitore esterno e dai suoi sistemi, compresi quelli in dismissione.

Per i soggetti NIS2, l’articolo 21 chiede di gestire la sicurezza della catena di approvvigionamento: gli strumenti di sviluppo con IA e i servizi che custodiscono credenziali vanno inventariati e valutati come gli altri fornitori. La vulnerabilità RCE corretta senza CVE mostra un limite pratico: senza avviso, la gestione delle vulnerabilità basata sui CVE non la vede, e serve sapere quali versioni sono installate.

Cosa fare subito

1. Verifica se sei coinvolto: cerca nella posta l’email con oggetto «Action Required: Potential provider key breach». Anche senza email, controlla le chiavi per prudenza.
2. Elenca tutte le chiavi OpenAI, Anthropic e Google Gemini mai salvate in uno spazio di lavoro della Console, comprese quelle aggiunte da altri amministratori.
3. Controlla consumi e fatturazione presso ogni provider almeno dal 16 ottobre: picchi, modelli che non usi, addebiti inattesi. Su Google Cloud verifica anche eventuali progetti sospesi.
4. Crea le nuove chiavi, poi revoca le vecchie, anche se non mostrano uso sospetto. Aggiorna pipeline CI/CD, file di ambiente, configurazioni degli agenti e postazioni del team, poi verifica che le chiavi revocate restituiscano un errore di autenticazione.
5. Limita le chiavi: progetti e API strettamente necessari, tetti di spesa e allarmi di budget. Se continui a usare la Console, collega una chiave dedicata e ristretta, mai quella di produzione.
6. Aggiorna OpenCode alla 1.18.33 o successiva su Windows e WSL e collega solo server MCP fidati.

Le misure dei punti 1–5 riprendono le indicazioni pubblicate da Safeguard e riportate da Infosecurity Magazine.

Come aiuta ARXDOME

ARX Sentry tiene l’inventario del software di computer e server, così sai dove è installato OpenCode e in quale versione anche quando non esiste un CVE, e raccoglie log ed eventi di sicurezza: esecuzioni sospette e traffico in uscita bloccato arrivano nelle pagine del SOC. ARX Horizon arricchisce le connessioni con la reputazione degli indirizzi di destinazione.

Ultimo aggiornamento: 20 ottobre 2026