==============================================================================
  FILTRACIÓN EN OPENCODE CONSOLE EXPONE CLAVES DE PROVEEDORES DE IA
==============================================================================

  Fuente:      https://www.vantis.cl/noticias/opencode-console-filtracion-claves-proveedores-ia
  Publicado:   2026-10-20  (hora de Chile)
  Ambito:      global   ·   Criticidad: media
  Descargado:  2026-10-25 04:57  (hora de Chile)

  COMO USAR ESTE ARCHIVO
  ----------------------
  La regla SIGMA es la canonica: es el formato neutral del que se derivan
  las demas. Si tu SIEM no aparece aca, convierte esa con pySigma.

  Las traducciones a motores concretos se incluyen por conveniencia y
  ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de
  tabla, indice y campo antes de ponerlas en produccion. Una regla que
  no dispara por un campo mal escrito es peor que no tener regla.

  QUE NECESITAS TENER LOGUEADO
  ----------------------------
  · Logs de uso y facturación de la API de OpenAI (exportación nativa o vía gateway)
  · Logs de uso y facturación de la API de Anthropic
  · Logs de uso y facturación de Google Generative AI / Vertex AI
  · Registros de un gateway LLM o CASB si la organización centraliza el acceso a modelos de IA

==============================================================================
  REGLA 1 de 3   ·   SIGMA (canonica, neutral)
  Uso de una misma clave de proveedor de IA desde múltiples países en ventana corta
==============================================================================
  Requiere: Tabla o índice normalizado con logs de uso/facturación de proveedores de IA (api_key_id, src_country, cost_usd, model)

title: Uso de clave de proveedor de IA desde múltiples países en ventana corta
id: 7f3a9d2e-4c6b-4a1f-8e2d-9b5c1a7f3d64
status: experimental
description: Detecta el uso de la misma api_key_id de OpenAI, Anthropic o Google desde más de un país en una ventana de 15 minutos, patrón consistente con una clave de proveedor de IA robada y usada en paralelo por un tercero.
author: Vantis
date: 2026-10-20
references:
  - https://labs.cloudsecurityalliance.org/research/csa-research-note-opencode-console-provider-key-breach-20261/
logsource:
  category: application
  product: ai_provider_api
  definition: 'Requiere normalizar en el SIEM los logs de uso/facturación de OpenAI, Anthropic o Google (exportación nativa, CASB o gateway LLM) con los campos api_key_id, src_country y cost_usd.'
detection:
  selection:
    api_key_id|exists: true
  timeframe: 15m
  condition: selection | count(src_country) by api_key_id > 1
falsepositives:
  - Equipos distribuidos que usan VPN corporativa con salida en distintos países
  - Despliegues multi-región legítimos que comparten una misma clave de proyecto
level: medium
tags:
  - attack.credential_access
  - attack.t1552
  - attack.t1078

==============================================================================
  REGLA 2 de 3   ·   SPLUNK - SPL
  Clave de proveedor de IA usada desde más de un país en 15 minutos
==============================================================================
  Requiere: index=ai_provider_logs alimentado por exportación de logs de OpenAI/Anthropic/Google o por un gateway LLM que normalice api_key_id, src_country y cost_usd

index=ai_provider_logs sourcetype=api_usage earliest=-15m
| stats dc(src_country) as paises_distintos sum(cost_usd) as costo_total values(src_country) as lista_paises by api_key_id
| where paises_distintos > 1
| sort - costo_total

==============================================================================
  REGLA 3 de 3   ·   MICROSOFT SENTINEL - KQL
  Clave de proveedor de IA usada desde más de un país en 15 minutos
==============================================================================
  Requiere: Tabla personalizada AIProviderUsageLogs_CL alimentada por un conector CASB o gateway LLM con campos api_key_id_s, src_country_s y cost_usd_d

let ventana = 15m;
AIProviderUsageLogs_CL
| summarize paises=dcount(src_country_s), costo=sum(cost_usd_d) by api_key_id_s, bin(TimeGenerated, ventana)
| where paises > 1
| order by costo desc

==============================================================================
  FALSOS POSITIVOS ESPERABLES
==============================================================================

  Equipos de desarrollo distribuidos geográficamente, uso de VPN corporativa
  con salida en distintos países, y despliegues multi-región que comparten
  intencionalmente una misma clave de proyecto generarán alertas legítimas.
  Antes de desplegar en modo bloqueo, correr la regla en modo solo-alerta
  durante al menos dos semanas para calibrar el umbral de países distintos y
  el costo asociado al perfil normal de cada equipo.

==============================================================================
  Vantis Chile SpA  ·  https://www.vantis.cl/noticias
  Analisis con fines defensivos. Reutilizable citando la fuente.
==============================================================================