Brutte notizie per chi utilizza OpenCode, l'agente di programmazione open source basato sull'intelligenza artificiale. Il team del progetto ha inviato un'email di notifica a una parte dei propri utenti per avvertirli che le chiavi API dei provider esterni salvate nella piattaforma sono state compromesse. Dietro l'incidente ci sarebbe un attacco informatico mirato, con i criminali che hanno sfruttato le credenziali per addestrare i propri modelli AI a spese dei malcapitati.
Come sono state rubate le chiavi
Secondo quanto ricostruito, gli aggressori hanno approfittato di una falla nella gestione delle credenziali all'interno del progetto. Le chiavi API, necessarie per collegare OpenCode ai servizi di intelligenza artificiale di terze parti come OpenAI, Anthropic o Google, venivano conservate in un formato che ha permesso l'accesso non autorizzato. Una volta ottenute, le chiavi sono state utilizzate per effettuare chiamate ai modelli linguistici, generando costi significativi a carico degli utenti legittimi.
Il modus operandi è chiaro: invece di pagare di tasca propria l'addestramento o l'utilizzo di modelli AI, gli hacker hanno dirottato le risorse altrui, sfruttando le chiavi rubate per portare avanti le proprie attività. Un attacco che colpisce sia il portafoglio degli utenti sia la fiducia nel progetto open source.
Cosa devono fare gli utenti coinvolti
Il team di OpenCode ha consigliato a tutti i destinatari dell'email di revocare immediatamente le chiavi API interessate e di generarne di nuove. È inoltre fondamentale monitorare i propri account sui provider esterni per individuare eventuali addebiti anomali e segnalarli tempestivamente. L'episodio riaccende i riflettori sulla sicurezza delle credenziali nei progetti open source, dove la rapidità dello sviluppo può talvolta entrare in conflitto con pratiche di protezione dei dati all'altezza delle aspettative.
