Vulneración de seguridad en OpenCode Console expone claves API de proveedores de IA
Una brecha de seguridad en OpenCode podría haber comprometido las claves API guardadas de importantes proveedores de inteligencia artificial como OpenAI, Anthropic y Google. El incidente pone de relieve los riesgos del almacenamiento de claves de terceros en herramientas para desarrolladores.
Resumen
- Un intruso accedió el 16 de octubre a un sistema heredado de OpenCode Console
- El ataque pudo exponer claves API almacenadas por usuarios para OpenAI, Anthropic y Google
- Console es un entorno de trabajo alojado opcional que almacena claves para acceso en equipo a modelos
- La empresa confirmó la brecha pero aún no ha especificado el alcance del acceso a los datos
- Se recomienda a los usuarios rotar las claves de los proveedores de IA como medida preventiva
OpenCode ha informado de un posible incidente de seguridad relacionado con su servicio alojado Console, que podría haber dado lugar a un acceso no autorizado a las claves API almacenadas por clientes para principales proveedores de inteligencia artificial. La vulneración tuvo lugar el 16 de octubre, cuando un atacante accedió a un sistema heredado dentro de la infraestructura de la empresa.
El servicio Console permite a los equipos de desarrollo almacenar y gestionar claves API para servicios como OpenAI, Anthropic y Google Cloud AI. Estas claves permiten a los miembros del equipo acceder directamente a modelos de IA mediante la interfaz de Console sin necesidad de autenticación individual. Aunque el alcance completo del incidente aún se encuentra en investigación, la exposición potencial pone en riesgo numerosos flujos de trabajo de desarrollo.
Detalles del ataque
- El incidente ocurrió el 16 de octubre y afectó a la infraestructura heredada de OpenCode Console
- El atacante obtuvo acceso al sistema que almacena las claves API de proveedores externos de IA
- El alcance de los datos accedidos sigue siendo investigado por el equipo de seguridad
- De momento no hay evidencia de uso activo indebido de las credenciales comprometidas
Impacto y respuesta
- Las claves afectadas incluyen las de servicios de IA de OpenAI, Anthropic y Google
- Los usuarios de Console deberían rotar inmediatamente todas las credenciales API almacenadas
- OpenCode recomienda supervisar los registros de uso de los servicios de IA en busca de anomalías
- La empresa está implementando controles de acceso mejorados para sistemas heredados
- Se continúa con el análisis forense completo, con posibilidad de notificar a todos los usuarios
Fuentes
Fuentes
Novedades de seguridad por correo
Un correo resumen cuando publicamos nuevos artículos de seguridad (resumen más enlaces para leer más). Date de baja cuando quieras desde el pie del mensaje. Consulta nuestra Política de privacidad.