Alerta para programadores: hackean OpenCode y quedan expuestas claves de OpenAI, Anthropic y Google

La plataforma de programación con inteligencia artificial OpenCode reveló este sábado que sufrió un acceso no autorizado a uno de sus sistemas antiguos, y que las claves API de OpenAI, Anthropic y Google guardadas por los usuarios «podrían haberse expuesto».

La empresa, Anomaly Innovations, comenzó a enviar correos a los afectados la noche del viernes. El incidente golpeó al 1.4% de los usuarios de su consola que tenían cuentas de proveedores externos vinculadas. Lo inquietante es que la primera línea de tiempo detallada no la dio la compañía, sino un desarrollador.

Los atacantes no buscaban contraseñas ni tarjetas de crédito: querían acceso facturable a los modelos de IA más caros del mercado. Varios usuarios ya reportaron cargos fraudulentos en sus cuentas, con facturas que trepan a cientos de dólares por consultas que ellos nunca hicieron.

OpenCode asegura que trabaja con Anthropic, OpenAI y Google en la remediación, y recomienda a los usuarios rotar sus claves directamente en los paneles de cada proveedor, revisar los registros de uso y activar topes de gasto. Según reportes, Anthropic ya revocó las claves de Claude comprometidas.

La lección es brutal y simple: una herramienta de código que guarda tus claves es un almacén de credenciales, se comercialice como tal o no. Es el segundo fallo de manejo de credenciales en el sector en un mes. Si usas estas herramientas, revisa tus claves hoy mismo.

El caso reabre el debate sobre la confianza ciega en las herramientas de IA para programar. Miles de desarrolladores —también en República Dominicana, donde el sector tecnológico crece a buen ritmo— conectan sus claves a servicios de terceros sin leer la letra pequeña. La comodidad tiene un precio, y esta vez el precio llegó directo en la factura.