O projeto de inteligência artificial de código aberto OpenCode anunciou que sofreu uma violação de segurança que resultou na exposição de chaves de interface de programação de aplicações (API) armazenadas, utilizadas por desenvolvedores com provedores terceirizados como Anthropic, OpenAI e Google. Os administradores do projeto explicaram que o ataque atingiu cerca de 1,4% dos usuários da plataforma OpenCode Console, e os afetados receberam e-mails de aviso informando sobre o possível vazamento de suas chaves a partir de 17 de outubro de 2026.
Ataques de destilação e seu impacto na segurança
O cofundador do projeto OpenCode, Dax Raad, confirmou que os invasores visaram os sistemas da empresa por pelo menos 48 horas usando agentes de inteligência artificial em ataques conhecidos como destilação de IA (AI Distillation). A destilação de modelos de aprendizado de máquina é uma técnica legítima usada normalmente para treinar modelos menores usando as respostas de modelos mais poderosos, mas, neste incidente, foi transformada em um ataque baseado em consultas em larga escala e não autorizadas.
Durante as investigações, a equipe do OpenCode enfrentou dificuldades para rastrear os invasores depois que os modelos de inteligência artificial que eles utilizavam começaram a recusar solicitações devido a restrições de segurança integradas. A situação só se estabilizou após a equipe começar a usar o modelo de segurança cibernética Daybreak, da OpenAI, para fins defensivos.
Danos financeiros e suspensão de projetos
A invasão causou danos financeiros e técnicos diretos a muitos usuários, incluindo:
- Recebimento de faturas financeiras não autorizadas em contas do Google Cloud que, em alguns casos, ultrapassaram 1.700 dólares da noite para o dia.
- Suspensão de algumas contas e projetos de usuários pelo Google após a detecção de atividades abusivas compatíveis com a exploração de recursos roubados.
- Indicação do OpenCode sobre a possibilidade de reembolsar os usuários afetados pelas cobranças não autorizadas, enquanto a empresa mantém contato com os grandes provedores de modelos para solucionar a vulnerabilidade.
Por que esta notícia é importante?
Este incidente destaca os riscos de segurança associados à vinculação de chaves de API a plataformas de inteligência artificial externas e agentes de automação, e como técnicas legítimas de aprendizado de máquina, como a destilação, podem ser utilizadas indevidamente para lançar ataques em larga escala que drenam os recursos das vítimas e expõem credenciais sensíveis.