✨︎ Resumen (TL;DR):
- OpenCode pidió a los usuarios afectados revocar y reemplazar las claves API almacenadas en Console.
- La compañía situó el alcance en aproximadamente el 1.4% de los usuarios de Console.
- La recuperación también exige revisar el consumo y actualizar las aplicaciones que dependan de esas claves.
OpenCode pidió a los usuarios afectados de Console revocar y reemplazar sus claves API tras un acceso no autorizado a un sistema antiguo de Anomaly Innovations, la empresa que desarrolla el agente de programación. En una declaración del 17 de octubre de 2026 recogida por Startup Fortune, la compañía situó el alcance en aproximadamente el 1.4% de los usuarios de Console y dijo que la investigación seguía abierta.
El grupo afectado correspondía a una parte de las cuentas que habían vinculado proveedores externos. OpenCode dijo que notificó por correo a esas personas.
Qué credenciales pudieron quedar expuestas
El aviso descrito por Startup Fortune mencionaba credenciales de OpenAI y Anthropic como ejemplos. El medio también incluyó a Google en su reporte. OpenCode afirmó que trabajaba con las tres compañías al comunicar el incidente.
Startup Fortune señaló que OpenCode no precisó cuántas cuentas representa el porcentaje comunicado. El reporte recogió denuncias en X sobre cobros no reconocidos y suspensiones de cuentas, pero el medio no pudo verificar esos testimonios.
Por separado, Startup Fortune reportó que OpenCode todavía no podía confirmar si las claves expuestas habían tenido un uso malicioso.
La clave expuesta puede generar consumo ajeno
La documentación actual de Console explica que el servicio guarda las credenciales de proveedores externos y permite compartir sus modelos entre los integrantes de un espacio de trabajo. Las solicitudes pasan por una pasarela, de modo que los miembros pueden usar los modelos sin ver la clave del proveedor.
El esquema mantiene la facturación vinculada a la cuenta externa. El proveedor cobra los tokens consumidos, mientras Console registra las solicitudes y su costo. Una clave expuesta podría permitir que un tercero genere consumo a cargo de su titular.
La destilación aparece como posible objetivo
OpenCode vinculó el incidente con una operación de destilación a gran escala, de acuerdo con Startup Fortune. El reporte señaló que OpenCode no había confirmado la secuencia concreta entre la exposición de las claves y su eventual uso para obtener respuestas destinadas al entrenamiento de otros modelos. El reporte tampoco detalló el mecanismo de entrada al sistema.
La destilación es un método de entrenamiento que usa las respuestas de un modelo más capaz para entrenar otro. Anthropic publicó una explicación general sobre esta técnica el 23 de febrero de 2026. La compañía reconoce que es legítima y habitual, y que también se utiliza para crear versiones más pequeñas de modelos propios.
Anthropic distingue ese método de las campañas que buscan extraer capacidades de un modelo sin autorización. La destilación describe aquí un posible uso de las respuestas; el acceso al sistema y la exposición de las credenciales corresponden a la intrusión. OpenCode no había confirmado una relación concreta entre ambos hechos.
Revocar la clave también implica revisar integraciones
OpenCode recomendó revocar y reemplazar las credenciales afectadas desde los paneles de los proveedores, revisar el consumo reciente y actualizar las aplicaciones que dependan de esas claves.
La documentación de Console contempla cambiar la credencial guardada en la página del proveedor conectado. Startup Fortune advirtió que el trabajo puede extenderse a procesos de integración continua y a configuraciones de otros integrantes del equipo que utilizaban la misma clave.
En esas cuentas, la recuperación abarca la credencial almacenada en Console y cada aplicación donde se reutilizó. Revocar una clave obliga a sustituirla en los servicios que todavía dependan de ella.
Para los usuarios notificados, la medida concreta es revisar el consumo y sustituir la credencial en Console, en el panel del proveedor y en cada aplicación conectada que todavía dependa de ella.
