Hackers atacam ferramenta de programação de IA OpenCode e geram cobranças nas contas de IA dos usuários

OpenCode, um agente de programação de IA de código aberto que tem ganhado espaço entre desenvolvedores como uma alternativa ao Claude Code e Cursor, afirmou no sábado que invasores invadiram um sistema mais antigo durante a madrugada, afetando 1,4% dos usuários de sua plataforma online, OpenCode Console, onde alguns usuários armazenam as chaves de API, ou senhas digitais, que utilizam para acessar serviços de IA.

Enquanto a equipe da OpenCode lutava para acompanhar o ritmo do ataque, a corrida para responder destacou um problema crescente: empresas sem acesso verificado a modelos de IA com menos restrições de segurança têm dificuldades para se defender contra ataques cibernéticos em grande escala impulsionados por IA.

“Tivemos uma violação de segurança ontem à noite relacionada a um ataque de destilação em grande escala que afetou 1,4% dos usuários do OpenCode Console”, a empresa escreveu no X. “Notificamos todos eles esta manhã por e-mail.” Os usuários que não receberam um e-mail não foram afetados, disse a empresa.

Embora a empresa não tenha especificado como ocorreu o ataque de destilação, chaves de API vazadas podem ajudar usuários em países com acesso restrito a modelos americanos a gerar o alto volume de saídas necessário para esse processo. Alguns céticos consideraram a narrativa um exagero, argumentando que o incidente foi uma invasão direta cujo uso para destilação continua não comprovado.

Durante a madrugada, desenvolvedores começaram a postar alertas de gastos e cobranças não autorizadas no Reddit e no X. “Vi meus alertas de gastos da Open AI, Anthropic e Google AI dispararem todos antes de ir dormir, me perguntando o que estava acontecendo”, escreveu um desenvolvedor.

Outros usuários relataram cobranças na casa das centenas de dólares em contas individuais; alguns descreveram totais acima de US$ 1.000.

Anthropic e Google bloquearam as chaves de API que acreditavam estarem expostas, enquanto a OpenAI afirmou que trabalhou com a OpenCode para restaurar o acesso e reembolsar seus clientes de API pelos créditos utilizados no ataque. A OpenCode disse que os reembolsos por cobranças não autorizadas estão em andamento.

As chaves expostas limitavam-se ao Console, onde alguns usuários as mantinham em espaços de trabalho. O aplicativo de código aberto e a ferramenta de linha de comando não foram afetados, de acordo com o cofundador Dax Raad. “Observe que este é o OpenCode Console, não o próprio OpenCode, essas chaves nunca chegam até nós”, ele escreveu no X.

Mesmo enquanto usuários e empresas de IA agiam para desativar as chaves expostas, a equipe da OpenCode ainda estava sob pressão. Raad disse que os invasores vinham tentando invadir seus sistemas sem parar por 48 horas, exigindo que a equipe mantivesse agentes de defesa de IA rodando 24 horas por dia. Os modelos de IA aos quais a equipe da OpenCode recorreu para análise ajudaram por um tempo, mas começaram a recusar o trabalho quando o código malicioso que lhes foi pedido para examinar ativou os filtros de segurança.

“[I]sso foi um pouco frustrante”, escreveu ele no X.

A OpenCode obteve posteriormente acesso ao programa Daybreak Blue da OpenAI, que fornece a usuários verificados modelos de IA com menos probabilidade de recusar solicitações de trabalho de segurança defensiva. Raad afirmou que o acesso melhorou a capacidade da equipe de investigar o ataque.

A OpenCode não é a primeira empresa a bater nessa parede. Em julho, a plataforma de IA Hugging Face disse que modelos de IA comerciais bloquearam suas tentativas de analisar logs de atividade de uma invasão por agentes de IA autônomos, que a OpenAI revelou posteriormente serem seus próprios modelos rodando com as salvaguardas reduzidas durante um teste. Em uma seção de sua postagem no blog intitulada “O problema da assimetria”, a Hugging Face escreveu que as barreiras de proteção “não conseguem distinguir um respondente a incidentes de um invasor”.

Pesquisadores de segurança levantaram reclamações semelhantes, afirmando que as restrições são inconsistentes e têm empurrado alguns em direção a modelos estrangeiros de pesos abertos, que qualquer pessoa pode baixar e executar.

O episódio do fim de semana atraiu uma resposta de David Sacks, co-presidente do Conselho de Consultores em Ciência e Tecnologia do Presidente.

“A OpenCode (e anteriormente a Hugging Face) bateu na mesma parede no meio do ataque: modelos de fronteira se recusaram a analisar os próprios exploits necessários para a defesa porque as cargas úteis acionaram os filtros de segurança. As barreiras de proteção saíram pela culatra”, escreveu ele no X.

A invasão ocorreu na mesma noite em que a OpenCode tornou o GLM-5.3-Flash gratuito para os usuários. A família mais ampla do GLM-5.3 chamou a atenção de pesquisadores que estudam modelos de pesos abertos e observam que suas capacidades de cibersegurança se aproximaram de níveis anteriormente associados a modelos de acesso restrito, como o Claude Mythos Preview da Anthropic.

A OpenCode não detalhou como os invasores obtiveram acesso ao sistema mais antigo, como as chaves foram armazenadas ou toda a extensão de qualquer uso indevido. A empresa instruiu os usuários afetados a revogarem e substituírem suas chaves diretamente com cada provedor. A empresa afirmou que o incidente continua em andamento.

A invasão ocorre em meio a uma série de incidentes cibernéticos habilitados por IA. No início deste mês, a empresa de cibersegurança CrowdStrike disse que um hacker baseado na China provavelmente usou um agente de teste de penetração de IA, que investiga sistemas de computador em busca de vulnerabilidades, e o Claude em ataques a bancos sul-coreanos. Na semana passada, a agência de cibersegurança da Índia alertou que agentes de IA, incluindo alguns sendo testados por empresas de IA, acessaram os sistemas de organizações indianas sem autorização.