Filtración en OpenCode Console expone claves de proveedores de IA

El incidente afectó al 1,4% de los usuarios de la consola hospedada y derivó en cargos no autorizados en cuentas de OpenAI, Anthropic y Google. La causa raíz y el vector de entrada siguen sin confirmarse.

Qué pasó

Este análisis parte de una nota de investigación de Cloud Security Alliance (CSA Labs), que a su vez sintetiza coberturas de prensa y de proveedores de seguridad sobre un aviso enviado por OpenCode a sus clientes. CSA Labs no es fuente primaria del incidente: cada dato aquí se atribuye a quien lo reportó originalmente.

OpenCode ofrece, además de su agente de línea de comandos, un servicio hospedado llamado Console, donde un equipo guarda su propia clave de OpenAI, Anthropic o Google y Console la usa para llamar al proveedor en su nombre. Según la cobertura basada en el aviso de OpenCode, un atacante alcanzó la noche del 16 de octubre un sistema legado que estaba en proceso de ser dado de baja, y la empresa notificó por correo a la mañana siguiente bajo el asunto "Action Required: Potential provider key breach" (The Hacker News, Cyera).

Los datos duros que entregó OpenCode son escasos: afectó al 1,4% de los usuarios de Console que tenían vinculado un proveedor externo, y la empresa atribuyó el hecho a lo que llamó, en sus propias palabras, "a large scale distillation attack" (citado por The Hacker News y OrcaRouter). No explicó cómo esa caracterización se relaciona con la intrusión, quién sería responsable, ni si las claves estaban cifradas en reposo. Rescana señala explícitamente que no hay evidencia directa que vincule el hecho a un actor nombrado.

Usuarios reportaron cargos no autorizados poco después del aviso: USD 281 en una clave de OpenAI y USD 168 en una de Anthropic para un mismo usuario, USD 1.700 sin especificar proveedor para otro, y montos cercanos a USD 400 en Anthropic y EUR 200 en Google para otros casos (The Hacker News). Son autorreportes, no cifras auditadas, y OpenCode no ha confirmado el total de abuso ni publicado un post-mortem o causa raíz hasta el 19 de octubre, fecha del último reporte disponible.

Evaluación (confianza media): la palabra "distillation" no es casual. Anthropic documentó a mediados de 2026 campañas de extracción de capacidades de modelos mediante miles de cuentas falsas y millones de interacciones con Claude. Claves de proveedor robadas son una vía plausible para lograr ese volumen de acceso sin crear cuentas rastreables. Esto es una lectura razonable del contexto, no algo que OpenCode haya confirmado; la explicación alternativa que no podemos descartar es que "distillation attack" sea simplemente el término que OpenCode eligió para describir la intrusión en sí, sin relación con el uso posterior de las claves.

Por qué importa acá

No tenemos evidencia de que alguna organización chilena o latinoamericana haya sido notificada por OpenCode, y no vamos a inventar una bajada local donde no la hay. Lo que sí es verificable es que este patrón —agentes de codificación con IA integrados al flujo de desarrollo, con claves de OpenAI, Anthropic o Google pegadas en herramientas de terceros— es exactamente el que CSA describe como creciente en equipos de desarrollo de cualquier país, y Chile no es una excepción: fintechs, software factories y áreas de desarrollo interno usan este tipo de herramientas con la misma informalidad que se ve en el resto de la región.

Dos marcos locales entran en juego, con matices importantes:

• Ley 21.663 (marco de ciberseguridad): la obligación de reportar a ANCI aplica a Operadores de Importancia Vital y organismos del Estado, y solo si la entidad chilena es la afectada directamente. Si un OIV chileno usó OpenCode Console y tuvo una clave expuesta, el deber de reporte se activa; hoy no tenemos ninguna señal de que eso haya ocurrido, así que la respuesta honesta es no sabemos, no un supuesto.
• Ley 21.719 (protección de datos personales): si una clave robada se usó para hacer inferencias no autorizadas sobre modelos que procesan datos personales de clientes chilenos, la organización que delegó esa clave —no OpenCode— es la responsable del tratamiento frente a la autoridad de protección de datos cuando la ley entre en plena vigencia. Vale la pena que los equipos de cumplimiento empiecen a mapear esto ahora, antes de que un incidente similar los tome por sorpresa.

Más allá del marco legal, el valor práctico de este caso para cualquier equipo de TI en Chile es el mismo que señala CSA: si tu organización permite que desarrolladores peguen claves de proveedor en consolas hospedadas de terceros, esa clave hereda la postura de seguridad de ese tercero, no la tuya.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1552 — Las claves de proveedor quedaron almacenadas en un sistema legado de un tercero (Console), fuera del control directo de las organizaciones dueñas de las credenciales.
• T1078 — Las claves de API funcionan como credenciales válidas de cuenta ante OpenAI, Anthropic y Google; un atacante que las obtiene no necesita comprometer al proveedor ni al cliente final para usarlas.
• AML.T0034 — Los cargos no autorizados reportados por usuarios (de USD 168 a USD 1.700) son consistentes con uso intensivo de inferencia pagada con credenciales ajenas; es el efecto observable, independiente de si hubo o no destilación de modelos.
• AML.T0024 — Evaluación de confianza baja: encaja con el relato de OpenCode sobre un 'ataque de destilación a gran escala', pero la empresa no ha explicado cómo esa caracterización se vincula con el robo de claves, así que no se puede confirmar que esta técnica se haya ejecutado en este caso específico.

title: Uso de clave de proveedor de IA desde múltiples países en ventana corta
id: 7f3a9d2e-4c6b-4a1f-8e2d-9b5c1a7f3d64
status: experimental
description: Detecta el uso de la misma api_key_id de OpenAI, Anthropic o Google desde más de un país en una ventana de 15 minutos, patrón consistente con una clave de proveedor de IA robada y usada en paralelo por un tercero.
author: Vantis
date: 2026-10-20
references:
  - https://labs.cloudsecurityalliance.org/research/csa-research-note-opencode-console-provider-key-breach-20261/
logsource:
  category: application
  product: ai_provider_api
  definition: 'Requiere normalizar en el SIEM los logs de uso/facturación de OpenAI, Anthropic o Google (exportación nativa, CASB o gateway LLM) con los campos api_key_id, src_country y cost_usd.'
detection:
  selection:
    api_key_id|exists: true
  timeframe: 15m
  condition: selection | count(src_country) by api_key_id > 1
falsepositives:
  - Equipos distribuidos que usan VPN corporativa con salida en distintos países
  - Despliegues multi-región legítimos que comparten una misma clave de proyecto
level: medium
tags:
  - attack.credential_access
  - attack.t1552
  - attack.t1078

index=ai_provider_logs sourcetype=api_usage earliest=-15m
| stats dc(src_country) as paises_distintos sum(cost_usd) as costo_total values(src_country) as lista_paises by api_key_id
| where paises_distintos > 1
| sort - costo_total

let ventana = 15m;
AIProviderUsageLogs_CL
| summarize paises=dcount(src_country_s), costo=sum(cost_usd_d) by api_key_id_s, bin(TimeGenerated, ventana)
| where paises > 1
| order by costo desc

Fuentes

• Cloud Security Alliance (CSA Labs)OpenCode Console Breach: Concentrated Provider Keys at Risk · 2026-10-20
• The Hacker NewsOpenCode Console Breach May Have Exposed OpenAI, Anthropic, and Google API Keys · 2026-10-18
• Cyera ResearchOpenCode Breach: What Happened and How to Rotate Exposed AI API Keys · 2026-10-18
• RescanaOpenCode Console Breach Exposes OpenAI, Anthropic, and Google API Keys in Credential Theft and Distillation Attack · 2026-10-18
• OrcaRouterOpenCode Console breach exposed users' AI provider API keys · 2026-10-19
• AnthropicDetecting and Preventing Distillation Attacks · 2026-01-01
• CSA AI Safety InitiativeAI Toolchain Hijacked: IDE Plugin API Key Theft · 2026-06-01
• CSA AI Safety InitiativeLiteLLM AI Gateway: Critical Vulnerability Chain Exposes API Keys · 2026-01-01
• Cloud Security AllianceAI Controls Matrix (AICM) v1.1 · 2026-01-01

Relacionado