Brecha en OpenCode: qué hacer con tus claves de API de IA

OpenCode, un agente de programación con IA de código abierto, confirmó el 17 de octubre de 2026 una brecha de seguridad que afectó al 1,4 % de los usuarios de su servicio web OpenCode Console. Según el correo a los afectados que citan varios medios, pudieron quedar expuestas las claves de API de proveedores como OpenAI o Anthropic que esos usuarios habían guardado allí.

Lo que se sabe

El anuncio: OpenCode escribió el 17 de octubre en su cuenta oficial de X que sufrió una brecha «la noche anterior», relacionada con un «ataque de destilación a gran escala». Afectó al 1,4 % de los usuarios de OpenCode Console, todos con proveedores externos enlazados.
El aviso: la empresa dice que avisó a todos los afectados por correo esa mañana y que quien no recibió el correo no está afectado.
El estado: OpenCode dice que el incidente sigue abierto, que por eso no puede dar más detalles y que trabaja con Anthropic, OpenAI y Google para solucionarlo. Su página de estado (status.opencode.ai) no mostraba ningún incidente de seguridad al revisarla en la madrugada del 18 de octubre (UTC).
Qué se guardaba: la documentación oficial de Console explica que allí los dueños de un espacio de trabajo conectan sus cuentas de proveedores y que Console guarda la credencial para que los miembros usen los modelos sin ver la clave.
Lo que dice el correo, según DEV Community y Startup Fortune: hubo acceso no autorizado a un sistema antiguo que la empresa estaba retirando, y las claves de terceros guardadas en el espacio de trabajo pudieron quedar expuestas.
El coste: Crypto Briefing recoge que algunos afectados vieron facturas de cientos de dólares. Es testimonio de usuarios, no una cifra de OpenCode.

Qué cambia y qué no

Cambia poco para quien usa OpenCode solo en su computadora con sus propias claves: la empresa limita el incidente a Console y a los usuarios con proveedores enlazados. Sí cambia para quien guardó allí sus claves: una clave robada sigue funcionando hasta que se revoca en el proveedor, y cada consulta se cobra a su dueño.

No se sabe todavía cómo entraron, qué otros datos se vieron ni si las claves se llegaron a usar en todos los casos. OpenCode no lo ha explicado y ninguna de esas respuestas está en una fuente primaria.

Cómo saber si te afecta

Si usas OpenCode Console, busca en tu correo el aviso de OpenCode. Aunque no te haya llegado, cambiar la clave cuesta poco.
Revoca la clave en el panel del proveedor, no solo en la herramienta. Quitarla de Console no la anula: hay que borrarla en OpenAI, Anthropic o Google y crear otra. La documentación de Console explica cómo poner la nueva sin borrar el proveedor.
Revisa el consumo desde el 16 de octubre en el panel de uso de cada proveedor. Un pico de madrugada o modelos que no usas son la señal típica.
Usa una clave por herramienta. Si el chatbot de tu web, un plugin de WordPress y tu agente de programación comparten clave, una filtración obliga a cambiarla en todos. Con claves separadas solo revocas la afectada.
Pon un límite de gasto donde el proveedor lo permita. No evita el robo, pero acota la factura.
Mira dónde está guardada la clave de tu web. En un chatbot o un plugin de IA, la clave suele quedar en los ajustes del plugin o en el servicio externo que lo mueve. Esa es otra puerta como la de Console.

Relacionado: Agentes de IA entraron con claves expuestas: qué revisar

Fuentes

Actualizaciones: si OpenCode publica cómo ocurrió la brecha o qué datos se vieron, se añadirá aquí con su enlace.