Hackeo a OpenCode expone API keys de usuarios en Chile

Un incidente de seguridad sacudió a la comunidad de desarrolladores que usan inteligencia artificial para programar. OpenCode, una herramienta de código abierto que compite con Claude Code y Cursor, sufrió un ataque informático en parte de su plataforma en línea. Los hackers lograron robar algunas claves de API —códigos que permiten a programas externos conectarse a servicios de IA— de usuarios registrados.

¿Qué pasó exactamente?

Los atacantes accedieron a una sección del sistema de OpenCode y extrajeron las API keys de un grupo de cuentas. Estas claves son como contraseñas que habilitan el uso de modelos de lenguaje, como los que emplean ChatGPT o Gemini, desde aplicaciones de terceros. Si caen en manos equivocadas, pueden usarse para consumir servicios sin autorización o acceder a datos sensibles.

Lo curioso del caso es que, según reportes del incidente, OpenCode intentó usar otras herramientas de inteligencia artificial para analizar el código malicioso que los hackers dejaron. Sin embargo, esos sistemas se negaron repetidamente a examinar el código. Las razones exactas no se han hecho públicas, pero podría deberse a que el código contenía instrucciones prohibidas o era considerado peligroso por los filtros de seguridad de esos modelos.

Relevancia para Chile

OpenCode es una plataforma global, y cualquier persona en Chile que la haya usado para programar con IA pudo haber sido afectada. Hasta ahora no hay información oficial sobre cuántos usuarios chilenos están entre los perjudicados, ni si las claves robadas ya fueron desactivadas. La empresa detrás de OpenCode no ha emitido un comunicado detallado sobre el alcance del ataque.

Para quienes trabajan con inteligencia artificial en el país, el incidente deja una lección práctica: si usan herramientas de código abierto que requieren API keys, deben revisar si esas claves han sido comprometidas y, de ser posible, rotarlas inmediatamente. También conviene activar la autenticación de dos factores cuando la plataforma lo permita.

¿Qué hacer si usas OpenCode?

Si tienes una cuenta en OpenCode, lo primero es cambiar tu API key desde el panel de configuración. Luego, verifica si hay actividad inusual en los servicios de IA a los que esa clave daba acceso, como un consumo excesivo de tokens o llamadas desde direcciones IP desconocidas. Hasta ahora no se ha reportado que los atacantes hayan usado las claves para fines maliciosos, pero la precaución nunca está de más.

El caso también muestra una paradoja de la seguridad en IA: los mismos sistemas que ayudan a detectar vulnerabilidades pueden negarse a revisar código malicioso, dejando a los desarrolladores sin una herramienta clave para investigar ataques. OpenCode aún no ha explicado cómo planea resolver esta limitación en el futuro.

Con información de TechCrunch