Vazamento na OpenCode: 1,4% das API Keys de Usuários Expostas

O vazamento na OpenCode expõe um vetor de ataque cada vez mais relevante para quem trabalha com IA: a exploração de API keys. Um ataque de "distillation" consiste em interrogar extensivamente um modelo de IA para coletar saídas. Essas saídas podem ser usadas para treinar outro modelo, que aproxima o comportamento do modelo original, mais capaz. Neste caso, a vulnerabilidade foi em um sistema legado, que armazenava chaves de API de provedores externos como OpenAI, Anthropic e Google. O roubo dessas chaves pode gerar custos financeiros diretos para os usuários, já que os atacantes podem fazer requisições não autorizadas usando as contas das vítimas, aproveitando os limites de uso e a capacidade de processamento sem arcar com os custos.

Este incidente é um lembrete importante dos riscos de segurança associados à integração de serviços de IA de terceiros e à manutenção de sistemas legados. Para desenvolvedores e empresas, API keys são credenciais valiosas, e sua exposição representa um risco financeiro imediato e um vetor para outros ataques. A OpenCode agiu corretamente ao notificar os usuários afetados e orientá-los a revogar as chaves. Isso reforça a necessidade de práticas rigorosas de segurança, como rotação regular de chaves, monitoramento de uso, limites de gastos e o desativamento proativo de sistemas antigos.