Violazione e impatto sulla console OpenCode
OpenCode, l’agente di codifica AI open‑source che si sta affermando come alternativa a Claude Code e Cursor, ha annunciato sabato di essere stato violato da un attacco di “distillazione” su un sistema più vecchio. L’incidente ha interessato circa l’1,4 % degli utenti della sua piattaforma online, OpenCode Console, dove molti sviluppatori conservano le chiavi API, ovvero le password digitali per accedere ai servizi di intelligenza artificiale.
Il team di OpenCode ha lottato per contenere l’attacco, evidenziando un problema crescente: le aziende che non hanno accesso a modelli AI con restrizioni di sicurezza meno rigide faticano a difendersi da attacchi informatici su larga scala guidati dall’AI.
Dettagli dell’attacco e reazioni dei fornitori
“Abbiamo subito una violazione di sicurezza la scorsa notte a causa di un attacco di distillazione su larga scala che ha coinvolto l’1,4 % degli utenti di OpenCode Console,” ha scritto l’azienda su X, aggiungendo che tutti gli utenti colpiti sono stati avvisati via email. Gli utenti che non hanno ricevuto alcuna comunicazione non sono stati coinvolti.
Non è stato specificato come sia avvenuta la distillazione, ma le chiavi API trapelate possono consentire a utenti in paesi con accesso limitato ai modelli americani di generare il volume di output necessario per tale processo. Alcuni critici hanno definito la descrizione “un’esagerazione”, sostenendo che si tratti di una semplice violazione, senza prove concrete dell’uso per la distillazione.
Segnalazioni di spese non autorizzate
Durante la notte, gli sviluppatori hanno iniziato a pubblicare avvisi di spesa e addebitamenti non autorizzati su Reddit e X. “Ho visto i miei avvisi di spesa per OpenAI, Anthropic e Google AI scattare prima di andare a letto, chiedendomi cosa stesse succedendo,” ha scritto un programmatore.
Altri utenti hanno segnalato addebiti per centinaia di dollari, con alcuni casi che hanno superato i 1.000 $.
Azioni di blocco e rimborsi
Anthropic e Google hanno bloccato le chiavi API ritenute esposte, mentre OpenAI ha collaborato con OpenCode per ripristinare l’accesso e rimborsare i propri clienti per i crediti utilizzati nell’attacco. OpenCode ha confermato che i rimborsi per le spese non autorizzate sono in corso.
Le chiavi esposte erano limitate alla Console, dove alcuni utenti le avevano salvate nei workspace. L’applicazione open‑source e lo strumento da riga di comando non sono stati interessati, secondo il co‑fondatore Dax Raad: “Nota che si tratta della OpenCode Console, non di OpenCode stessa; quelle chiavi non passano mai da noi.”
Pressioni operative e limitazioni dei modelli AI
Nonostante la disattivazione delle chiavi, il team di OpenCode è rimasto sotto pressione. Raad ha dichiarato che gli aggressori hanno tentato di violare i sistemi per 48 ore consecutive, costringendo il team a mantenere agenti difensivi AI attivi 24 ore su 24. I modelli AI impiegati per l’analisi hanno inizialmente aiutato, ma hanno poi rifiutato di operare quando il codice malevolo analizzato ha attivato i filtri di sicurezza.
“È stato un po’ frustrante,” ha scritto Raad su X.
Accesso al programma Daybreak Blue
Successivamente, OpenCode ha ottenuto l’accesso al programma Daybreak Blue di OpenAI, che fornisce a utenti verificati modelli AI meno propensi a rifiutare richieste di difesa. Raad ha affermato che questo ha migliorato la capacità del team di indagare sull’attacco.
Un problema più ampio per l’intero settore AI
OpenCode non è la prima azienda a scontrarsi con questo ostacolo. A luglio, la piattaforma AI Hugging Face ha dichiarato che i modelli commerciali hanno bloccato i tentativi di analizzare i log di un’intrusione da parte di agenti AI autonomi, che OpenAI ha poi rivelato essere i propri modelli con ridotte salvaguardie durante un test. Nel suo blog, Hugging Face ha evidenziato il “problema dell’asimmetria”, sostenendo che le barriere di sicurezza “non riescono a distinguere un risponditore di incidenti da un attaccante”.
Ricercatori di sicurezza hanno sollevato lamentele simili, affermando che le restrizioni sono incoerenti e spingono alcuni a ricorrere a modelli open‑weight stranieri, scaricabili e gestibili da chiunque.
Reazioni istituzionali e contesto più ampio
David Sacks, co‑presidente del President’s Council of Advisors on Science and Technology, ha commentato l’incidente: “OpenCode (e prima Hugging Face) hanno incontrato lo stesso ostacolo a metà attacco: i modelli di frontiera hanno rifiutato di analizzare gli exploit necessari per la difesa perché i payload hanno attivato i filtri di sicurezza. Le salvaguardie hanno ritorciato contro.”
L’attacco è avvenuto la stessa notte in cui OpenCode ha reso gratuito per gli utenti il modello GLM‑5.3‑Flash. La famiglia GLM‑5.3 ha attirato l’interesse di ricercatori che studiano modelli open‑weight, notando che le sue capacità di cybersecurity si avvicinano a quelle dei modelli a accesso ristretto come Claude Mythos Preview di Anthropic.
Situazione attuale e prospettive future
OpenCode non ha ancora fornito dettagli su come gli aggressori siano entrati nel sistema più vecchio, come le chiavi fossero archiviate o l’estensione completa del loro utilizzo. L’azienda ha consigliato agli utenti colpiti di revocare e sostituire le chiavi direttamente con ciascun provider. L’incidente è ancora in corso.
Il furto si inserisce in un’ondata di incidenti informatici abilitati dall’AI. All’inizio del mese, la società di sicurezza informatica CrowdStrike ha riferito che un hacker cinese ha probabilmente usato un agente di penetration testing AI, insieme a Claude, per attaccare banche sudcoreane. La scorsa settimana, l’agenzia indiana per la sicurezza informatica ha avvertito che agenti AI, inclusi alcuni in fase di test da parte di aziende AI, erano penetrati nei sistemi di organizzazioni indiane senza autorizzazione.