Attacco a OpenCode: a rischio le chiavi API di OpenAI, Anthropic e Google

L'attacco e le conseguenze immediate

OpenCode, l'agente di programmazione open source utilizzato tramite terminale, ha confermato su X il 17 ottobre 2026 un attacco informatico alla sua Console che ha colpito l'1,4% degli utenti, ovvero quelli con provider esterni collegati. Secondo l'avviso inviato agli interessati, riportato da Startup Fortune, le chiavi API di OpenAI, Anthropic e Google salvate nel workspace potrebbero essere state esposte.

Aggiornamento del 20 ottobre 2026: i rimborsi sono in corso. OpenAI ha collaborato con OpenCode per ripristinare l'accesso e rimborsare ai clienti API i crediti consumati dall'attacco, come scritto su X da Thibault Sottiaux. OpenCode conferma che i rimborsi per gli addebiti non autorizzati sono stati avviati. Anche Google, come Anthropic, ha bloccato le chiavi ritenute esposte, riferisce TechCrunch.

L'app e la CLI non sono state coinvolte. Il cofondatore Dax Raad ha scritto su X che il problema riguarda solo la Console e non OpenCode in sé. Le chiavi esposte erano salvate nella Console, quindi chi utilizza il programma in locale, con le chiavi nel proprio file, non è stato colpito. Tuttavia, questa dichiarazione non è stata verificata in modo indipendente.

Dettagli tecnici dell'attacco

L'attacco è durato due giorni. Secondo Raad, gli attaccanti hanno tentato di entrare senza sosta per 48 ore. Il team ha mantenuto attivi agenti di IA difensivi giorno e notte. I modelli utilizzati per l'analisi si sono rifiutati di proseguire quando il codice malevolo ha attivato i loro filtri di sicurezza. Successivamente, OpenCode ha ottenuto l'accesso a Daybreak Blue di OpenAI, un programma che fornisce a utenti verificati modelli meno restrittivi riguardo alle richieste di sicurezza difensiva.

Un'analisi a posteriori non è stata pubblicata e l'attacco non è stato attribuito a nessuno. Chi utilizza OpenCode con chiavi salvate nella Console deve ruotarle immediatamente, direttamente dalle dashboard dei provider. Successivamente, è necessario controllare il consumo a partire dal 16 ottobre. L'azienda descrive l'incidente come ancora in corso e non ha fornito ulteriori dettagli.

Cosa è OpenCode e come funziona

OpenCode è un agente di programmazione che gira nel terminale, sviluppato dal team SST (oggi Anomaly Innovations). Si collega a più di 75 provider di modelli utilizzando le chiavi API degli utenti. La Console è il pannello web dell'azienda, dove si gestiscono i workspace, i piani a pagamento (come OpenCode Go) e, come emerge dall'avviso, anche le chiavi dei fornitori esterni. Una chiave API è la password con cui un programma consuma crediti su un servizio come ChatGPT o Claude, quindi chi la ruba paga con il tuo conto.

Sul fronte delle catene di fiducia compromesse, c'è anche il blocco di 8 certificati eMudhra deciso da Go 1.27.3.

Cosa è successo nella notte tra il 16 e il 17 ottobre

Il profilo ufficiale @opencode ha scritto sabato 17 ottobre di aver subito una violazione "la scorsa notte", legata a un "large scale distillation attack". Gli utenti coinvolti sono stati avvisati via email quella stessa mattina. Chi non ha ricevuto nulla, precisa il post, non è stato colpito, perché il problema riguarda solo il sottoinsieme di account con provider esterni collegati.

Il post non spiega come gli attaccanti siano entrati. Il quadro tecnico arriva dall'email, che Startup Fortune riassume così. L'azienda ha individuato un accesso non autorizzato a un sistema "legacy" della Console (un componente vecchio, in via di dismissione) e ammette che le chiavi dei provider salvate nel workspace "potrebbero essere state esposte". Non è in grado di dire se qualcuno le abbia usate per scopi illeciti e, finora, non ha trovato prove di fughe di altri dati.

Dax Raad, uno dei fondatori, ha scritto sempre il 17 ottobre che anche i suoi account personali erano sotto attacco e ha parlato di un mondo nuovo fatto di hacking guidato dall'intelligenza artificiale, come riferisce OfficeChai.

Quali chiavi sono a rischio e cosa non risulta compromesso

Il perimetro dichiarato è la Console, cioè il servizio ospitato da OpenCode. Le chiavi in discussione sono quelle che gli utenti avevano caricato nel pannello per far funzionare l'agente senza reinserirle ogni volta. L'analisi di ExplainX sottolinea che nulla di pubblicato indica una compromissione del programma open source in sé, quello che si installa sul proprio computer.

La distinzione conta. Chi usa OpenCode in locale conserva di norma le credenziali in un file sul proprio disco, come spiega la guida di Warp. Quel file non passa dai server dell'azienda. Resta invece aperta la domanda su cosa sia successo alle chiavi finite nella Console, che è il punto su cui OpenCode non ha ancora detto nulla di preciso.

Il rischio di perdere una chiave non è una novità del 2026. Truffle Security ha contato 543.699 credenziali ancora attive su GitHub, quasi tutte lasciate lì per distrazione. Qui il meccanismo cambia, perché la chiave non l'ha dimenticata l'utente: stava in un archivio che l'utente riteneva custodito da altri.

Che cos'è un attacco di distillazione e perché il termine stona?

Un attacco di distillazione consiste nell'interrogare in massa un modello di intelligenza artificiale per raccogliere le sue risposte e usarle per addestrare un modello concorrente. Il termine indica quindi uno sfruttamento abusivo di un servizio di terzi, che con il furto di password o di dati degli utenti ha poco a che vedere.

Per questo l'etichetta scelta da OpenCode lascia perplessi. Lo schema classico lo conosciamo dai casi in cui Anthropic ha presentato le sue difese dalla distillazione citando Zhipu e Kimi e accusato Alibaba di quella che definisce la più grande distillazione di Claude. Qui il quadro sarebbe diverso, ma compatibile. Chi ruba chiavi API altrui ottiene accesso gratuito a modelli costosi e può usarlo, tra le altre cose, proprio per estrarre risposte in grande quantità. Ma ExplainX ricorda che "distillazione" indica per ora solo un movente sospettato, ancora da provare. Nessuna fonte ha indicato un responsabile.

Addebiti anomali e chiavi revocate, cosa riferiscono gli utenti

Su X sono comparse le prime segnalazioni di costi imprevisti. Un utente ha scritto che i saldi OpenAI e Anthropic erano stati svuotati e che l'account Google risultava limitato, mentre altri parlano di oltre 400 dollari in una notte e di 1.700 dollari, stando a quanto raccoglie Digg. Si tratta di testimonianze di singoli account, che OpenCode non ha confermato né smentito.

Sul fronte dei provider, Anthropic ha scritto su X, in un messaggio ripreso da Digg, di aver lavorato con OpenCode e di aver revocato le chiavi API di Claude che ritiene coinvolte, consigliando a chi le aveva salvate in OpenCode di crearne di nuove. Una revoca lato Anthropic, quindi, può aver reso inutilizzabile la chiave anche prima che l'utente se ne accorgesse. La conferma dal lato degli altri due fornitori, per ora, manca.

Limiti da conoscere

Il numero 1,4% non ha un valore assoluto. Senza sapere quanti account sono, nessuno può dire se parliamo di poche decine di utenti o di migliaia di chiavi in circolazione.

L'etichetta "distillazione" è quella scelta da OpenCode. Nessuna fonte ha indicato chi ha attaccato o come, quindi non si può escludere che sia stato preso altro oltre alle chiavi.

Le dichiarazioni sull'uso fraudolento delle chiavi vengono da utenti su X. Gli addebiti raccontati non sono verificati. L'unico controllo affidabile sono i registri di consumo del proprio account provider.

OpenCode non ha fornito ulteriori dettagli sull'incidente, che descrive come ancora in corso.