OpenCode hackerato: rubate chiavi API e addebiti fino a 1.700 dollari
Un attacco hacker a OpenCode ha trasformato le chiavi API di alcuni sviluppatori in una fonte di spese impreviste. Dopo essere entrati in un sistema ormai datato della piattaforma, gli aggressori avrebbero utilizzato credenziali collegate a OpenAI, Anthropic e Google per consumare servizi di intelligenza artificiale a spese dei legittimi proprietari. Alcuni utenti hanno denunciato addebiti fino a 1.700 dollari. La violazione non ha riguardato indistintamente chiunque utilizzi OpenCode: secondo l’azienda, è stato coinvolto l’1,4% degli utenti del servizio online OpenCode Console.
Come gli hacker hanno ottenuto le chiavi API
OpenCode è uno strumento open source che permette agli sviluppatori di lavorare con assistenti di programmazione basati sull’IA. La sua versione Console, ospitata sui server dell’azienda, consente di conservare credenziali API per collegare modelli di fornitori esterni. Queste chiavi sono simili a password tecniche: autorizzano richieste ai servizi e possono generare costi sull’account a cui appartengono.
La società ha spiegato che gli aggressori sono penetrati in un sistema precedente che stava per essere dismesso. La compromissione è stata resa nota il 17 ottobre 2026, dopo un’intrusione avvenuta durante la notte precedente. Gli utenti interessati sono stati avvisati tramite email. Il cofondatore Dax Raad ha precisato che l’incidente riguarda Console, non le chiavi utilizzate localmente nell’applicazione open source, che non vengono inviate ai server dell’azienda.
Fatture impreviste: segnalati addebiti fino a 1.700 dollari
Diversi sviluppatori hanno scoperto il problema attraverso gli avvisi di spesa, prima ancora di leggere la comunicazione ufficiale. Tra le segnalazioni pubbliche, un utente ha indicato 281 dollari di consumi OpenAI e 168 dollari su Anthropic; un altro ha riferito perdite complessive stimate in 1.700 dollari. Sono testimonianze individuali, non un bilancio verificato di tutti i danni economici provocati dall’attacco.
Anthropic ha revocato le chiavi considerate compromesse. OpenAI ha collaborato con OpenCode per ripristinare l’accesso e rimborsare i crediti API consumati durante l’incidente, mentre Google ha sospeso progetti collegati ad attività sospette. Non si tratta quindi di acquisti effettuati nei normali negozi online: gli addebiti derivano dall’utilizzo non autorizzato di servizi di intelligenza artificiale a consumo.
Leggi anche:
L’ipotesi dell’attacco per addestrare un’altra IA
OpenCode ha collegato la violazione a un possibile attacco di distillazione su larga scala. In questo scenario, un soggetto raccoglie moltissime risposte da modelli avanzati per tentare di addestrare un altro modello, riducendo il costo dell’operazione grazie a credenziali sottratte. L’ipotesi, tuttavia, non è stata dimostrata pubblicamente: alcuni esperti ritengono prematuro attribuire con certezza questa finalità agli aggressori.
Il caso evidenzia comunque quanto possa essere pericoloso conservare chiavi API in servizi centralizzati. Una singola violazione può permettere di effettuare richieste a pagamento su più piattaforme, soprattutto quando non sono configurati limiti di spesa, avvisi o procedure rapide di revoca.
Quando i filtri di sicurezza dell’IA ostacolano la difesa
Durante la risposta all’incidente, il team di OpenCode ha incontrato un ostacolo inatteso: alcuni modelli utilizzati per analizzare il codice dannoso si rifiutavano di esaminarlo perché lo riconoscevano come materiale pericoloso. Raad ha raccontato che la situazione ha complicato l’indagine. L’azienda ha poi ottenuto accesso al programma Daybreak Blue di OpenAI, destinato a consentire attività difensive di sicurezza informatica con modelli dotati di restrizioni adattate a utenti verificati.
Secondo il racconto del cofondatore, gli aggressori hanno continuato a tentare accessi per circa 48 ore. Non sono stati resi pubblici tutti i dettagli della tecnica d’ingresso né l’estensione definitiva dei dati sottratti. Per chi utilizza OpenCode Console, l’episodio è un promemoria concreto: controllare le comunicazioni ricevute, verificare i consumi API, revocare eventuali chiavi esposte e generarne di nuove direttamente presso il fornitore. È inoltre prudente attivare avvisi di spesa e applicare i limiti disponibili.
Ti potrebbe interessare:
Segui guruhitech su:
- Google News: bit.ly/gurugooglenews
- Telegram: t.me/guruhitech
- Facebook: facebook.com/guruhitechfb
- Instagram: instagram.com/guruhitech_official/
- X (Twitter): x.com/guruhitech1
- Bluesky: bsky.app/profile/guruhitech.bsky.social
- Rumble: rumble.com/user/guruhitech
- VKontakte: vk.com/guruhitech
- MeWe: mewe.com/i/guruhitech
- Skype: live:.cid.d4cf3836b772da8a
- WhatsApp: bit.ly/whatsappguruhitech
Esprimi il tuo parere!
Che ne pensi di questa notizia? Lascia un commento nell’apposita sezione che trovi più in basso e se ti va, iscriviti alla newsletter.
Per qualsiasi domanda, informazione o assistenza nel mondo della tecnologia, puoi inviare una email all’indirizzo [email protected].
Scopri di più da GuruHiTech
Abbonati per ricevere gli ultimi articoli inviati alla tua e-mail.