OpenCode hackeado: tus claves de OpenAI y Anthropic podrían estar en la calle

Tus claves de OpenAI y Anthropic podrían estar siendo usadas por un desconocido en este mismo momento. OpenCode, uno de los agentes de código más populares entre desarrolladores, confirmó hoy que sufrió un acceso no autorizado y que las API keys guardadas en los espacios de trabajo de sus usuarios pudieron ser expuestas.

Lo que OpenCode admitió (y lo que no)

El equipo de OpenCode publicó un mensaje directo en su hilo de Hacker News: detectaron acceso no autorizado a un sistema legacy que estaban en proceso de descontinuar. Las claves de proveedores externos —OpenAI, Anthropic y Google— guardadas en los espacios de trabajo de los usuarios "pudieron haber sido expuestas".

La recomendación oficial: revocar y reemplazar esas claves desde el panel de cada proveedor, actualizar cualquier aplicación que las use, y revisar el uso reciente en busca de actividad inesperada.

El tema se disparó en Hacker News con más de 500 puntos y 89 comentarios en horas. Medios como Notebookcheck, Startup Fortune y OfficeChai reprodujeron el aviso. Y la reacción de la comunidad fue demoledora: desarrolladores de todo el mundo señalando que un agente de IA con acceso a tus credenciales es, precisamente, el objetivo de ataque más goloso que existe.

El comentario que nadie de la empresa quiso escribir

Uno de los comentarios más votados del hilo clavó el dedo en la llaga: "es gracioso que nadie anuncia sus vulnerabilidades críticas con 'nos hackearon, deberías desinstalar nuestro software y usar otra cosa'". Y tiene razón. Cuando la gravedad del fallo lo justificaría, ninguna empresa lo dice.

Otro usuario resumió la paradoja en una frase: OpenCode se hizo popular justamente porque prometía control y transparencia sobre los modelos de IA que usas. Y resulta que las llaves de esos modelos estaban guardadas en un sistema viejo que ni siquiera habían terminado de apagar.

¿Estás afectado? Así lo compruebas en 2 minutos

1. Revisa si guardaste claves en OpenCode. Si configuraste API keys de OpenAI, Anthropic o Google en tu espacio de trabajo, estás en la zona de riesgo. Si solo usaste modelos locales, respira tranquilo.

2. Revoca las claves viejas. En el dashboard de OpenAI, Anthropic o Google AI Studio, elimina la key anterior y genera una nueva. No hay forma de "limpiar" una key comprometida: solo destruirla.

3. Revisa el consumo de tus APIs. Un uso inesperado es la única señal de que alguien más está corriendo gastos con tu cuenta. En OpenAI, el historial de uso muestra tokens por día; en Anthropic, el panel de usage.

4. Pasa tus keys a variables de entorno. Regla de oro: una API key que vive guardada en un archivo de configuración de un tercero es una API key comprometida. export OPENAI_API_KEY=... y nunca más en un archivo.

La lección incómoda para todos los que usamos agentes de IA

Este hackeo no es un accidente raro: es el resultado predecible de cómo se construye software hoy. Un sistema legacy, datos sensibles, y una prisa por crecer que deja puertas abiertas. Mientras tanto, miles de desarrolladores latinos que adoptaron OpenCode como alternativa gratuita a herramientas pagas ahora tienen que pasar una tarde entera rotando credenciales.

La IA aceleró tu código, pero también aceleró el inventario de llaves que dejaste esparcidas por ahí. Y un tercero ya las encontró.

¿Usabas OpenCode? ¿Ya rotaste tus claves o te enteraste por este artículo? Cuenta en los comentarios — y comparte esto con alguien que todavía tiene su API key guardada en un archivo de configuración de 2024.