Um incidente de segurança na plataforma OpenCode comprometeu chaves de acesso a serviços de inteligência artificial (IA) de grandes empresas, como OpenAI, Anthropic e Google. Este vazamento ocorreu na noite de sexta-feira (16) e afetou 1,4% dos usuários do OpenCode Console, que mantinham provedores externos conectados. A OpenCode confirmou que as chaves expostas foram removidas no painel do sistema, mas qualquer pessoa com acesso a essas chaves pode realizar solicitações que cobram o proprietário. A remoção simples da chave não impede o uso indevido por terceiros. Essa vulnerabilidade é um exemplo de um ataque de destilação em grande escala, onde invasores extraem um volume massivo de respostas de modelos avançados para treinar sistemas concorrentes ou revender o acesso no mercado ilegal. As empresas afetadas, como OpenAI e Anthropic, relataram prejuízos e cobranças inesperadas. A OpenCode garantiu que a vulnerabilidade ficou restrita à nuvem, e a Anthropic atuou diretamente no bloqueio dos acessos suspeitos. Para proteger sua organização, é importante implementar medidas de segurança robustas, como autenticação multifator, monitoramento de auditoria e atualizações regulares de software. Além disso, manter as chaves de acesso seguras e controlar o acesso a sistemas de IA é crucial para evitar incidentes semelhantes. A OpenCode, por sua vez, reforçou a distinção entre seu sistema de nuvem e o serviço em si, garantindo que as chaves nunca cheguem ao seu próprio sistema. Essa abordagem de segurança é fundamental para garantir a privacidade e a integridade dos dados de IA em sua empresa.
